Attaque contre Polymarket via un prestataire tiers : ce qu’il faut surveiller

Polymarket a suspendu provisoirement les échanges sur sa plateforme internationale le 29 octobre 2026, après que des utilisateurs ont signalé des retraits non autorisés. L’attaque est passée par un prestataire externe, par lequel les attaquants ont pu atteindre les comptes. Les contrats de négociation de la plateforme elle-même sont restés intacts. L’entreprise a rouvert les échanges le jour même et promis une indemnisation intégrale à toutes les personnes concernées.

Pour les utilisateurs en Allemagne, l’incident déplace la question. L’enjeu décisif n’est pas de savoir si un contrat de négociation sur la blockchain est correctement programmé. Ce qui compte davantage, c’est le nombre de services tiers qui tournent sur un site de négociation et ce qui se passe lorsque l’un d’eux est compromis.

Ce qui s’est passé chez Polymarket : un prestataire compromis, pas une erreur de code

Polymarket est un marché prédictif : une plateforme sur laquelle les utilisateurs achètent et vendent des parts sur l’issue d’événements futurs, dont le prix reflète la probabilité estimée. Le règlement s’effectue au moyen de smart contracts, des programmes exécutés sur une blockchain qui gèrent mises et paiements sans intermédiaire.

Selon l’entreprise, ce ne sont pas ces programmes qui ont posé problème. Les attaquants ont en revanche obtenu l’accès à un fournisseur dont la plateforme avait intégré le code à son site. Qui contrôle un tel service peut modifier ce que l’utilisateur voit et confirme dans son navigateur, sans toucher une seule ligne du contrat de négociation.

L’entreprise n’a pas nommé le prestataire. Citant une source anonyme, l’agence Reuters évoque un service de surveillance de la vitesse des sites ; Forbes le décrit comme une plateforme de mesure des performances web. Polymarket n’a pas confirmé cette attribution, et tant que ce n’est pas le cas, elle reste une information de seconde main.

Environ 2,65 millions de dollars en POL : la fourchette des estimations

Il n’existe aucun chiffre officiel. Polymarket n’a publié ni le montant du préjudice ni le nombre de comptes touchés. Les estimations des observateurs divergent, et elles sont présentées ici sous forme de fourchette.

Les analyses de la société Arkham, reprises par plusieurs médias spécialisés, évoquent environ 2,65 millions de dollars, sortis en POL, le jeton du réseau Polygon sur lequel Polymarket effectue ses règlements. Le service de données DeFiLlama recense un peu moins de 2,7 millions de dollars. Crypto Economy fait état de 2,65 millions de dollars et de la reprise des échanges.

Les chiffres sur le nombre de victimes divergent davantage encore. Un compte rendu évoque environ 2,6 millions de dollars répartis sur près de 1 000 comptes, un autre quelque 3 millions de dollars issus de moins de 15 comptes. Les deux ne peuvent être exacts simultanément, et chacun mène à une interprétation différente. Une fuite large sur des centaines de comptes indique une interface manipulée pour tous les visiteurs, une fuite étroite quelques gros comptes. La lecture qui l’emportera reste ouverte au matin du 30 octobre.

Mode annulation seule : comment les échanges ont été provisoirement restreints

Polymarket a placé les échanges dans un état où il n’était plus possible de passer de nouveaux ordres, mais où les ordres existants pouvaient être annulés. Il ne s’agissait donc pas d’un arrêt complet. Ce mode d’annulation seule est l’outil habituel des places de marché en cas d’incident : il gèle les entrées tout en laissant sortir quiconque le souhaite.

La durée varie selon les sources, d’une demi-heure environ à une interruption plus longue dans l’après-midi. Ce qui est certain, c’est que la plateforme fonctionnait de nouveau le jour même et que l’entreprise a déclaré tous ses systèmes opérationnels, l’enquête se poursuivant.

Indemnisation et poursuites : ce que l’entreprise a promis

Polymarket a déclaré avoir corrigé le problème et indemniser intégralement tous les traders touchés. Selon Reuters, cité par Forbes, l’entreprise a transmis le dossier aux autorités judiciaires britanniques.

Une promesse n’est pas encore un paiement. Si vous êtes concerné, vous ne disposez, face à une plateforme sans agrément dans l’Union européenne, d’aucun droit qu’un superviseur allemand ferait respecter. La seule preuve solide reste votre propre documentation : l’heure du retrait non autorisé, l’identifiant de transaction sur la blockchain et vos échanges avec le prestataire.

Troisième incident depuis le printemps : un schéma qui passe par les accès

Le cas n’est pas isolé. Le 28 juin 2026, cryptoticker.io a rendu compte d’un incident sur la même plateforme, au cours duquel environ 3,1 millions de dollars étaient sortis selon les informations de l’époque ; notre analyse d’alors figure dans notre article sur le piratage de Polymarket et le risque de sécurité des marchés prédictifs. Là aussi, un fournisseur était le point de départ.

C’est là le véritable constat : depuis des mois, les attaques passent par les accès qui entourent la plateforme, et non par son cœur. Interface, API et services tiers intégrés forment la couche fragile au-dessus d’un règlement robuste.

Les prestataires tiers comme porte d’entrée : pourquoi du code étranger tourne sur un site de négociation

Presque tous les grands sites de négociation intègrent des services qu’ils n’exploitent pas eux-mêmes : journaux d’erreurs, mesure des temps de chargement, statistiques d’usage, fenêtres de discussion, modules de paiement. Chacun de ces services fournit du code qui s’exécute dans le navigateur de l’utilisateur avec les mêmes droits que le site lui-même.

Ce mode d’attaque porte un nom : l’attaque de la chaîne d’approvisionnement, qui vise non pas la cible mais l’un de ses fournisseurs. Elle est séduisante parce qu’un seul prestataire compromis ouvre à l’attaquant des dizaines de sites à la fois, et elle est pratiquement invisible pour l’utilisateur, puisque barre d’adresse, certificat et identité visuelle restent inchangés.

Un parallèle dans nos propres archives s’impose. Lors d’une fuite de données chez un prestataire de Coinbase fin octobre 2026, les avoirs n’ont pas été touchés ; ce sont des coordonnées qui ont fuité, exploitables ensuite pour de l’hameçonnage. Le schéma est le même : c’est le fournisseur de la plateforme qui a été attaqué.

Marchés prédictifs et agrément européen : le cadre pour les utilisateurs en Allemagne

En Europe, les marchés prédictifs évoluent dans un domaine mal défini. Selon leur conception, ils relèvent des instruments financiers, des jeux d’argent ou d’aucune de ces deux catégories, et cette qualification détermine quel superviseur serait même compétent. Un agrément au titre du règlement européen sur les marchés de cryptoactifs, MiCA, couvre la négociation de cryptoactifs, et pas automatiquement les paris sur des événements.

Concrètement, qui négocie sur une plateforme non agréée dans l’Union supporte lui-même le risque de défaillance. La garantie des dépôts, qui protège jusqu’à 100 000 euros dans une banque, n’existe pas ici, et une réclamation auprès de la BaFin contre un prestataire sans agrément allemand n’aboutit à aucun résultat contraignant. Qui passe en revanche par un prestataire agréé dans l’Union a au moins un superviseur derrière lui en cas de litige.

Avoirs sur une plateforme : la conservation et le compte de négociation ne se confondent pas

Dans un tel cas, cette différence détermine l’ampleur du préjudice. Si un avoir se trouve sur un compte de négociation, le prestataire détient les clés et tient en interne la comptabilité de votre créance. S’il se trouve dans votre propre portefeuille, un logiciel ou un appareil qui conserve lui-même la clé privée, la maîtrise reste au propriétaire.

Sur Polymarket, les utilisateurs connectent généralement leur propre portefeuille à la plateforme. C’est la meilleure voie, mais pas la voie sûre, car une connexion est une autorisation. Une fois accordée, elle permet à une application de disposer dans une certaine mesure de vos fonds, et c’est précisément cette autorisation qui est visée lorsque l’interface est manipulée. Le comparatif des portefeuilles matériels montre quels appareils conservent la clé hors du navigateur et ce qu’ils coûtent.

Autorisations d’une connexion de portefeuille : là où intervient un prestataire tiers

En pratique, une connexion de portefeuille va au-delà de l’affichage d’un solde. Elle comprend des autorisations portant sur des jetons précis, les approvals, qui permettent à un contrat de déplacer une quantité donnée d’un jeton, souvent sans plafond ni date d’expiration.

Une autorisation illimitée accordée l’an dernier reste valable aujourd’hui. Après un tel incident, la démarche la plus importante consiste donc à révoquer les anciennes autorisations, avant même de retirer vos avoirs. Qui ne l’a jamais fait traîne en général une douzaine d’autorisations ouvertes, dont il a oublié la plupart.

Effet de levier et liquidation : ce que signifie une suspension pour les positions ouvertes

Une opération à effet de levier signifie qu’un trader détient, avec de l’argent emprunté, une position plus importante que sa mise ne le permet ; si le cours franchit un certain seuil, la position est fermée d’office. Ce point s’appelle la liquidation.

Une suspension des échanges frappe ici doublement. Qui ne peut ni remettre de la marge ni vendre pendant que le marché bouge perd la maîtrise de sa propre mise. Sur les marchés prédictifs, les positions fonctionnent généralement sans effet de levier. Il en va autrement sur les plateformes de dérivés, où un mode d’annulation seule fait la différence entre une limitation des pertes et une fermeture forcée au plus mauvais cours. Si vous tradez avec effet de levier, vous devez connaître les règles que votre prestataire a fixées par écrit en cas d’incident.

Délai de détention et impôt : ce que déclenche une indemnisation en Allemagne

Sur le plan fiscal, le cas est délicat, car il mêle plusieurs opérations. Selon l’opinion dominante, un vol de cryptoactifs n’est pas une vente et ne génère donc pas de plus-value imposable ; la possibilité de faire valoir une perte est contestée et dépend du cas d’espèce.

Une indemnisation versée volontairement par un prestataire peut en revanche être considérée comme un retour de fonds, et si elle est versée dans un autre jeton que celui perdu, il s’agit d’un échange assorti de son propre délai de détention. Le délai d’un an applicable aux cessions privées repart alors de zéro pour le montant reçu. Pour vos documents, cela signifie consigner séparément la date et le montant de la sortie, ainsi que la date et la forme de l’indemnisation. Il ne s’agit pas d’un conseil fiscal, et pour des montants importants, le dossier mérite l’avis d’un spécialiste.

Polymarket : indemnisation promise, le risque reste dans les accès

La plateforme fonctionne de nouveau, et la promesse d’une indemnisation intégrale va au-delà de ce qu’obtiennent les utilisateurs après bien des incidents de ce type. L’incident a toutefois montré où se trouve la faille, et elle n’est pas là où la plupart l’imaginent. Trois démarches s’imposent maintenant :

1. Révoquer les autorisations. Retirez les anciennes autorisations illimitées de jetons accordées à des plateformes de négociation, y compris celles que vous n’utilisez plus. Le comparatif des portefeuilles logiciels indique lesquels intègrent cette vue d’ensemble.
2. Séparer avoirs de négociation et patrimoine. Ne laissez sur la plateforme que le montant que vous utilisez activement et placez le reste sous votre propre garde. Une plateforme réglementée ne remplace pas votre propre portefeuille ; c’est seulement la voie avec un superviseur derrière elle.
3. Documenter l’incident. Conservez identifiants de transaction, horodatages et correspondance avant toute indemnisation, car la qualification fiscale requiert les deux. Un logiciel fiscal avec suivi de portefeuille garde la trace des dates.

(Au 30 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)