Imaginez ouvrir votre application de trading préférée un mercredi après-midi et découvrir que des centaines de milliers de dollars ont disparu de votre compte sans la moindre action de votre part. C’est exactement ce que plusieurs utilisateurs de Polymarket ont vécu le 29 octobre 2026. En quelques heures, la plateforme de marchés prédictifs a basculé en mode « annulation seule », gelant toutes les nouvelles opérations pendant qu’elle tentait de comprendre ce qui se passait. Les réseaux sociaux se sont embrasés, les témoignages se sont multipliés et une ombre familière a plané à nouveau sur l’écosystème crypto : celle d’une possible compromission du frontend.
Une après-midi qui a tout changé pour les traders
Vers 18 h 05 UTC, Polymarket a officiellement signalé un incident majeur touchant son API de trading de prédictions, connue sous le nom de CLOB. À partir de ce moment, les utilisateurs pouvaient encore annuler leurs ordres existants, mais il devenait impossible d’en placer de nouveaux. Les actions du relayer, ces mécanismes qui facilitent certaines transactions, ont également été suspendues le temps de l’enquête. Le message était clair : la plateforme préférait tout freiner plutôt que de laisser la situation empirer.
Ce n’était pas un simple bug technique. Des traders ont commencé à publier des captures d’écran et des récits glaçants. L’un d’eux, connu sous le pseudonyme Car, a affirmé avoir perdu 800 000 dollars. Selon ses dires, toutes ses positions avaient été liquidées automatiquement. Un proche aurait quant à lui vu 600 000 dollars s’évaporer. Ces chiffres, encore non confirmés officiellement, ont immédiatement attiré l’attention de la communauté.
Les témoignages qui ont alarmé tout le monde
Car a longuement expliqué les précautions qu’il prenait habituellement : appareils séparés pour le développement, le trading et la vie personnelle, refus systématique des appels vidéo ou des liens suspects, jamais de téléchargement hasardeux. Malgré cette discipline digne d’un vétéran de dix ans dans la crypto, son compte s’est retrouvé vidé. Il a immédiatement suspecté une faille côté interface utilisateur plutôt qu’une erreur de sa part.
Un autre compte, StarPlatinum, a poussé l’analyse plus loin. Selon ses observations, des centaines de retraits auraient transité par l’infrastructure de dépôt de Polymarket. Un portefeuille destinataire aurait commencé à recevoir des fonds vers 17 h 05 UTC. En vingt minutes, il affichait déjà 412 000 dollars. À 17 h 50, le montant grimpaient à 2,02 millions. À 18 h 05, pile au moment où Polymarket annonçait l’incident, le total aurait atteint 2,68 millions de dollars. L’activité suspecte se poursuivait encore à 18 h 10.
Ces estimations restent purement issues des réseaux sociaux. La plateforme n’a ni confirmé ni infirmé ces montants. Elle s’est contentée de parler d’une enquête en cours sans préciser s’il s’agissait d’une attaque, d’une erreur de configuration ou d’autre chose.
Ce que montre réellement le mode d’urgence
Passer en mode « cancel-only » n’est jamais anodin. Cela signifie que les équipes techniques ont jugé la situation suffisamment grave pour interdire toute nouvelle activité. Les utilisateurs pouvaient encore se protéger en annulant leurs positions ouvertes, mais ils ne pouvaient plus trader. Les actions du relayer, qui permettent souvent de réduire les frais ou de simplifier certaines opérations sur Polygon, ont été gelées.
Cette décision montre à quel point les plateformes de prédiction restent vulnérables malgré les progrès de la sécurité. Polymarket fonctionne en grande partie sur la blockchain Polygon. Les utilisateurs connectent leurs portefeuilles et signent des transactions. Si l’interface web est compromise, même un utilisateur prudent peut se retrouver à signer quelque chose qu’il n’avait pas l’intention de valider.
Point de vigilance : Plusieurs captures d’écran circulaient montrant des demandes de signature de message affichant le domaine Polymarket, avec un champ « DepositWallet », le chain ID 137 (Polygon) et un indicateur « Unverified ». Ces éléments ont renforcé les soupçons d’une interface altérée.
Le précédent de juin 2026 revient hanter les esprits
Ce n’est pas la première fois que Polymarket se retrouve dans une situation similaire. En juin dernier, la plateforme avait déjà reconnu qu’un prestataire tiers compromis avait injecté un script malveillant dans son frontend pour une partie des utilisateurs. L’entreprise avait alors contenu l’incident, retiré la dépendance problématique et promis de rembourser intégralement les victimes.
À l’époque, les estimations initiales parlaient d’environ 2,94 millions de dollars prélevés sur au moins onze portefeuilles. Une analyse ultérieure avait même porté le total à 3,1 millions. Les fonds avaient été pris en PUSD sur Polygon, convertis via Relay, bridgés vers Ethereum puis échangés en ETH. La promesse de remboursement avait été claire et publique.
Cette fois, les messages officiels du 29 octobre ne contiennent aucune promesse équivalente. Pas de calendrier de remboursement, pas de délai pour les retraits, pas de communication rassurante sur la récupération des fonds. Le silence sur ce point a immédiatement alimenté les inquiétudes.
Pourquoi les plateformes de prédiction attirent les attaquants
Les marchés prédictifs comme Polymarket gèrent des volumes importants et des positions ouvertes parfois très élevées. Les utilisateurs y placent des fonds pour parier sur des événements politiques, sportifs, économiques ou technologiques. Cette concentration de liquidité en fait une cible de choix.
Contrairement à une banque traditionnelle, les fonds ne sont pas détenus par un intermédiaire centralisé de la même manière. Tout repose sur des contrats intelligents et sur l’intégrité de l’interface qui permet d’interagir avec eux. Une faille dans le frontend peut transformer une simple visite du site en opération de drainage.
L’écosystème a déjà vu des cas similaires ailleurs. Quelques jours plus tôt, une autre plateforme de prédiction, Predict.fun, avait reconnu des transferts non autorisés d’environ 400 000 USDT. Son enquête préliminaire pointait vers une possible compromission d’un site de documentation API hébergé en externe. La société avait immédiatement promis un remboursement intégral et un post-mortem détaillé.
Les deux visages de Polymarket
Il est important de distinguer les deux univers de Polymarket. La plateforme internationale, celle touchée par l’incident du 29 octobre, fonctionne de manière décentralisée avec des portefeuilles crypto. En parallèle existe une version américaine régulée, opérant sous licence CFTC, avec une chambre de compensation et des règles beaucoup plus strictes.
L’avis d’incident ne mentionnait que l’API de trading de la version internationale. Rien n’indiquait que la plateforme américaine réglementée était concernée. Cette séparation juridique et technique est cruciale : les utilisateurs de l’une ne sont pas nécessairement exposés aux mêmes risques que ceux de l’autre.
Ce que l’on savait (et ce que l’on ignorait encore) dans les heures qui ont suivi
Au moment où l’incident a été rendu public, plusieurs éléments restaient flous. Personne n’avait officiellement confirmé qu’il s’agissait d’une attaque plutôt que d’un dysfonctionnement interne. Aucun montant global de pertes n’avait été communiqué. L’adresse suspecte signalée par certains utilisateurs n’avait pas été validée par l’équipe. Le rôle exact de l’infrastructure Relay n’était pas non plus clarifié.
Les seules certitudes étaient le passage en mode d’urgence, la suspension des nouvelles opérations et l’existence de plusieurs témoignages concordants de portefeuilles vidés. Dans un secteur où la confiance se construit lentement et se détruit en quelques minutes, ce flou était particulièrement anxiogène.
Récapitulatif des faits établis au 29 octobre 2026 :
- Incident déclaré à 18 h 05 UTC
- Mode annulation seule activé
- Actions du relayer suspendues
- Plusieurs utilisateurs signalent des retraits non autorisés
- Estimations sociales allant jusqu’à 2,68 millions de dollars
- Aucune promesse de remboursement communiquée dans les premières heures
Les réflexes de sécurité que tout utilisateur devrait adopter
Même si la responsabilité semble cette fois reposer davantage sur la plateforme que sur les utilisateurs, l’épisode rappelle quelques règles de base. Séparer les appareils, ne jamais signer de transaction dont on ne comprend pas parfaitement le contenu, vérifier systématiquement l’adresse du site et les paramètres de la demande de signature restent des gestes essentiels.
Beaucoup d’attaques modernes passent par des interfaces trompeuses. Un domaine correct peut afficher une demande de signature malveillante si le code JavaScript a été altéré. Les indicateurs « Unverified » dans certains portefeuilles devraient immédiatement alerter. Dans le doute, mieux vaut tout annuler et attendre une communication claire de l’équipe.
Les traders expérimentés savent aussi qu’il est prudent de ne pas laisser des montants trop importants en dépôt permanent sur les plateformes, même celles qui jouissent d’une bonne réputation. Les fonds non utilisés pour des positions actives sont souvent plus en sécurité dans un portefeuille froid ou un coffre matériel.
L’impact sur la confiance dans les marchés prédictifs
Polymarket s’est imposé comme l’une des références du secteur. Ses marchés sur des événements majeurs attirent régulièrement des volumes impressionnants. Chaque incident de ce type laisse toutefois des traces. Les nouveaux utilisateurs hésitent davantage. Les plus anciens réduisent parfois leurs expositions. Les régulateurs, déjà attentifs, y trouvent de nouveaux arguments.
La coexistence d’une version internationale décentralisée et d’une version américaine régulée illustre parfaitement les tensions actuelles du secteur. D’un côté, la liberté et l’accessibilité. De l’autre, la protection et le cadre légal. Les attaques réussies sur la première version renforcent les arguments de ceux qui poussent à plus de régulation.
Pourtant, les marchés prédictifs répondent à un besoin réel d’information et de couverture. Ils permettent d’agréger des opinions et parfois de mieux anticiper certains événements que les sondages classiques. Leur avenir dépendra en grande partie de leur capacité à sécuriser les fonds des participants.
Ce que l’on peut attendre dans les jours qui viennent
L’expérience passée montre que les plateformes sérieuses publient généralement un post-mortem une fois l’enquête terminée. On peut donc espérer une communication plus détaillée expliquant la nature exacte de l’incident, les mesures correctives prises et, éventuellement, un plan de compensation pour les victimes.
En attendant, les utilisateurs concernés n’ont d’autre choix que de documenter leurs pertes, de conserver toutes les preuves (captures d’écran, historiques de transactions, messages) et de suivre attentivement les canaux officiels de la plateforme. Toute tentative de récupération de fonds via des messages privés ou des liens non officiels doit être considérée comme une arnaque secondaire.
Les équipes de sécurité blockchain vont quant à elles analyser les adresses signalées, tracer les flux et tenter d’identifier d’éventuels points de conversion ou de sortie. Dans certains cas, des fonds peuvent être gelés en aval si les attaquants passent par des services centralisés. Ce n’est toutefois jamais garanti.
Une leçon plus large pour tout l’écosystème
L’incident de Polymarket s’inscrit dans une série plus longue d’attaques ciblant les interfaces plutôt que les contrats intelligents eux-mêmes. Les auditeurs de code se concentrent souvent sur les smart contracts, ce qui est indispensable. Mais les frontends, les dépendances JavaScript et les prestataires tiers restent des points d’entrée privilégiés.
Les plateformes qui veulent survivre à long terme devront renforcer leurs processus de déploiement, limiter les dépendances externes, mettre en place des systèmes de détection d’anomalies en temps réel et, surtout, communiquer rapidement et transparentement en cas de problème. La confiance se gagne aussi dans la façon de gérer les crises.
Pour les utilisateurs, le message est double. D’un côté, les outils de prédiction restent fascinants et utiles. De l’autre, ils doivent être abordés avec la même prudence que n’importe quel service DeFi. Les montants engagés doivent rester proportionnés à la tolérance au risque de chacun.
Des chiffres qui interpellent encore
Si les estimations de StarPlatinum se confirment, le montant total drainé en à peine une heure avoisinerait les 2,68 millions de dollars. C’est un chiffre important, même s’il reste inférieur à certains exploits historiques du secteur. Ce qui frappe davantage, c’est la rapidité avec laquelle les fonds ont été déplacés et la nature apparemment systématique des retraits.
Le fait que plusieurs utilisateurs non liés entre eux aient signalé des pertes dans la même fenêtre de temps renforce l’hypothèse d’une cause commune, probablement côté plateforme. Dans les attaques purement individuelles (phishing, malware personnel), les cas sont généralement plus isolés et étalés dans le temps.
Reste à savoir si d’autres portefeuilles ont été touchés sans que leurs propriétaires n’aient encore communiqué. Les analyses on-chain des prochains jours apporteront sans doute des éléments plus précis.
Comment la communauté a réagi en temps réel
Sur les réseaux sociaux, le ton a rapidement oscillé entre colère, inquiétude et analyse technique. Certains appelaient immédiatement à une compensation. D’autres tentaient de tracer les flux. Quelques-uns mettaient en garde contre les fausses informations et les comptes d’arnaque qui profitent toujours de ce type d’événement pour proposer de « récupérer » les fonds.
Les équipes de Polymarket, via leur compte de statut, se sont contentées d’indiquer qu’elles continuaient à investiguer. Pas de détails techniques, pas de chronologie détaillée, juste la confirmation du mode d’urgence. Cette sobriété a été interprétée de façons très différentes selon les observateurs : prudence légitime pour certains, manque de transparence pour d’autres.
Dans ce type de situation, chaque heure compte. Plus les équipes communiquent tôt et clairement, plus elles limitent les rumeurs et les mouvements de panique. À l’inverse, un silence prolongé peut amplifier le sentiment de vulnérabilité.
Les enjeux pour la suite de Polymarket
La plateforme a déjà démontré en juin qu’elle savait gérer une crise en remboursant les victimes. La façon dont elle traitera cet incident d’octobre sera scrutée de près. Un remboursement rapide et complet renforcerait sa crédibilité. Une réponse trop lente ou partielle pourrait au contraire laisser des traces durables.
Au-delà de la compensation, les utilisateurs attendront des améliorations concrètes : audits plus fréquents des dépendances frontend, systèmes de monitoring des retraits anormaux, éventuellement des mécanismes de multi-signature ou de délais de sécurité pour les opérations sensibles.
Le secteur des marchés prédictifs est encore jeune. Chaque incident de ce type est à la fois un coup dur et une opportunité d’apprentissage. Ceux qui sauront tirer les leçons techniques et organisationnelles prendront une longueur d’avance.
Un rappel utile pour tous les acteurs de la DeFi
Polymarket n’est pas isolé. Les protocoles DeFi, les places de marché NFT, les bridge et désormais les plateformes de prédiction partagent les mêmes défis de sécurité. Les contrats intelligents peuvent être audités. Les interfaces web évoluent constamment et dépendent souvent de dizaines de bibliothèques externes. C’est là que se cachent encore de nombreuses vulnérabilités.
Les utilisateurs, de leur côté, doivent accepter que le « not your keys, not your coins » s’applique aussi aux interfaces. Même lorsque les fonds sont techniquement sous le contrôle d’un contrat, la façon dont on interagit avec ce contrat peut être manipulée.
La maturité du secteur se mesurera à sa capacité à réduire la fréquence et l’ampleur de ces incidents. Les prochaines semaines diront si Polymarket a su transformer cette nouvelle alerte en progrès durable.
En attendant, les traders qui avaient des positions ouvertes sur la plateforme ont dû se contenter d’annuler ce qu’ils pouvaient et d’attendre. Une situation frustrante, source d’anxiété, et qui rappelle une fois de plus que dans l’univers crypto, la vigilance ne doit jamais baisser, même face aux acteurs les plus connus.
L’histoire de ce 29 octobre 2026 n’est pas encore terminée. Les investigations se poursuivent. Les analyses on-chain vont continuer. Les éventuelles communications officielles seront attendues avec impatience. Pour l’instant, une chose est certaine : les portefeuilles de certains utilisateurs se sont retrouvés plus légers, et la confiance, elle, a encore une fois été mise à l’épreuve.
