Le piratage Polymarket du 29 octobre a siphonné environ 2,7 millions de dollars via un script tiers détourné sur le site.

Le piratage Polymarket rappelle une réalité simple : un site peut être attaqué sans que ses propres serveurs soient touchés. Le 29 octobre, du code malveillant s’est glissé dans le site de la plateforme de marchés prédictifs. Ce code a revendu les positions de certains traders connectés. Ensuite, il a transféré leurs fonds vers les pirates.

Le point d’entrée n’était pas le code interne de Polymarket. Il s’agissait en effet d’un script de mesure de la vitesse des pages, chargé depuis une société extérieure. Les attaquants l’ont remplacé par leur propre code.

Ce que l’on sait du piratage Polymarket

Les informations disponibles restent limitées. Elles suffisent pourtant à dessiner le scénario. Le 29 octobre, le site de Polymarket a servi à ses visiteurs un code qui n’était pas le bon. Ce code agissait dans le navigateur des utilisateurs authentifiés.

D’abord, il a vendu les positions détenues par certains traders. Ensuite, il a déplacé les fonds obtenus vers des adresses contrôlées par les pirates. Seuls des utilisateurs connectés à leur compte étaient concernés.

Le titre de l’affaire désigne DebugBear, dont le script a été détourné. Ce service sert à suivre les performances des pages web. Autrement dit, le script visé n’avait aucun lien avec les transactions. Il était pourtant chargé sur un site où des fonds circulent.

Un script de performance transformé en arme

Ce type d’attaque relève de la compromission de la chaîne d’approvisionnement logicielle. Un site web charge souvent des dizaines de scripts externes. Ils servent notamment à mesurer l’audience, à afficher des publicités ou à surveiller les performances.

Chacun de ces scripts s’exécute avec les mêmes droits que le site lui-même. Par conséquent, si un fournisseur est compromis, son code piégé hérite de ces droits. Il peut lire la page, simuler des clics et déclencher des actions au nom de l’utilisateur.

Cette approche est efficace pour les attaquants. En effet, il suffit de viser un seul maillon pour toucher tous les clients d’un fournisseur. De plus, le site visé n’a pas besoin d’être vulnérable en lui-même.

Dans le cas présent, les détails de la substitution du script ne figurent pas dans les éléments disponibles. On ignore donc comment le remplacement a été réalisé. Cette zone d’ombre devra être levée par les enquêtes des parties concernées.

Remboursements après le piratage Polymarket

Polymarket affirme rembourser environ 2,7 millions de dollars. Cette somme est répartie entre 726 portefeuilles touchés. La plateforme prend donc en charge les pertes de ses utilisateurs.

Par ailleurs, les registres de la blockchain permettent de suivre les mouvements de fonds. Ils indiquent qu’environ 2,64 millions de dollars de cryptomonnaies ont atteint les pirates. L’écart avec le montant des remboursements est modeste. Il peut s’expliquer de plusieurs façons. Toutefois, les informations disponibles ne le détaillent pas.

Ces chiffres montrent l’ampleur de l’opération. Plus de sept cents victimes ont été touchées en une seule journée. Chacune a perdu en moyenne quelques milliers de dollars. Pour des traders actifs, l’impact aurait donc été lourd sans remboursement.

Toutefois, la transparence de la blockchain joue ici un double rôle. D’un côté, elle permet de tracer les fonds. De l’autre, elle rend les transferts irréversibles. C’est pourquoi une plateforme doit détecter ce genre d’attaque très vite.

Comment limiter ce type de risque

Les scripts tiers sont pratiques. Pourtant, ils représentent une surface d’attaque réelle, surtout sur les sites financiers. Plusieurs mesures permettent de réduire l’exposition. Les éditeurs de sites devraient donc les envisager ensemble.

• Limiter les scripts externes sur les pages où l’on signe des transactions ou où l’on gère des fonds.
• Activer l’intégrité des sous-ressources (attribut integrity) pour qu’un fichier modifié soit refusé par le navigateur.
• Définir une politique de sécurité du contenu (Content-Security-Policy) qui restreint les domaines autorisés.
• Héberger les scripts en interne lorsque c’est possible, après une revue du code.
• Surveiller les changements de scripts chargés en production et alerter en cas d’écart.

Les utilisateurs ont aussi un rôle à jouer. Par exemple, ils peuvent exiger une confirmation explicite dans leur portefeuille pour chaque opération. Ils doivent également examiner les transactions proposées avant de les valider.

Ce qu’il faut retenir

• Le 29 octobre, un code malveillant a vendu les positions de traders connectés à Polymarket. Ensuite, il a déplacé leurs fonds vers les pirates.
• Le code avait remplacé un script de mesure de performance chargé depuis un fournisseur externe, DebugBear.
• Polymarket rembourse environ 2,7 millions de dollars à 726 portefeuilles.
• Les registres de la blockchain montrent qu’environ 2,64 millions de dollars de cryptomonnaies ont atteint les pirates.
• Ainsi, la parade passe par moins de scripts tiers, des contrôles d’intégrité et une politique de sécurité du contenu stricte.

Source : Hackers Steal About $2.7 Million From Polymarket Traders via Hijacked DebugBear Script