Polymarket confirme que des comptes utilisateur ont été piratés en raison d'une vulnérabilité tierce – fonds drainés malgré la 2FA

La plateforme de marché de prédiction décentralisée Polymarket a reconnu le 25 décembre 2025 que plusieurs comptes utilisateur avaient été compromis en raison d’une vulnérabilité de sécurité dans un fournisseur d’authentification tiers.

Les utilisateurs affectés ont signalé des connexions non autorisées et des balances drainées — malgré l’activation de la double authentification (2FA) et l’absence de preuve de compromission de leur appareil personnel — ce qui a alimenté des spéculations sur X et Reddit selon lesquelles le problème pourrait impliquer Magic Labs, un service commun de connexion de portefeuille. Bien que Polymarket n’ait pas nommé le fournisseur, l’incident met en lumière les risques persistants liés aux tiers dans les plateformes Web3, même pour les services non custodiaux. Aucun chiffre officiel sur les pertes n’a été divulgué, mais des rapports individuels décrivent des retraits importants de fonds après des tentatives de connexion suspectes.

Détails des piratages de comptes Polymarket

Les utilisateurs ont commencé à faire remonter des plaintes plus tôt dans la semaine :

• Motif commun : plusieurs notifications d’échec de connexion suivies d’un accès réussi et de fermetures de positions/drainage de fonds.
• Mesures de sécurité intactes : les victimes ont signalé des appareils propres, aucun clic de phishing, et une 2FA active sur leurs emails liés.
• Exemple de rapport : un utilisateur Reddit a décrit s’être réveillé avec trois tentatives de connexion, puis avoir trouvé toutes ses positions Polymarket fermées avec un solde proche de zéro.
• Spéculations communautaires : beaucoup ont pointé Magic Labs (magic.link) comme étant le fournisseur tiers vulnérable, étant donné son usage répandu pour les connexions de portefeuille.

La déclaration de Polymarket a confirmé la cause racine liée à un tiers, mais a fourni peu de détails sur l’étendue ou le calendrier de la remédiation.

• Impact sur la plateforme : la nature non custodiale signifie que les clés privées restent sous contrôle de l’utilisateur, mais des failles d’authentification ont permis le détournement de sessions.
• Aucun phishing confirmé : cela suggère une exploitation au niveau de la chaîne d’approvisionnement ou du fournisseur.
• Statut de la réponse : une reconnaissance a été émise ; l’enquête est en cours.

Pourquoi les vulnérabilités de tiers représentent un risque pour les utilisateurs de DeFi

Même les plateformes décentralisées dépendent de services externes pour l’expérience utilisateur :

• Connexions de portefeuille : des fournisseurs comme Magic Labs simplifient la connexion, mais introduisent un point unique de défaillance.
• Gestion des sessions : des tokens d’authentification compromis peuvent contourner la 2FA s’ils ne sont pas correctement révoqués.
• Attaques par chaîne d’approvisionnement : menace croissante alors que Web3 empile plusieurs dépendances.

Cet incident fait écho à des violations passées où des outils tiers (e.g., Ledger Connect kit) ont exposé les utilisateurs malgré une sécurité individuelle renforcée.

Implications pour Polymarket et les utilisateurs de marchés de prédiction

Polymarket — connu pour ses paris sur des événements à fort volume — subit une pression sur sa réputation :

• Impact sur la confiance : les utilisateurs remettent en question la sécurité de la plateforme malgré sa conception non custodiale.
• Contexte de volume : des records récents (e.g., paris électoraux) amplifient la visibilité des problèmes.
• Mesures d’atténuation : probablement la révocation des sessions, la ré-authentification, et des audits des fournisseurs.
• Leçon plus large : diversifier les méthodes d’authentification et surveiller les applications connectées.

Aucune preuve d’exploitation on-chain ; les pertes sont liées à des prises de contrôle de comptes.

En résumé, la confirmation par Polymarket, le 25 décembre 2025, de piratages de comptes utilisateur via une vulnérabilité d’un tiers — entraînant un drain des fonds malgré la 2FA — souligne la persistance des risques liés à la chaîne d’approvisionnement dans Web3. Les spéculations se concentrent sur Magic Labs et des rapports d’accès non autorisé, cet incident rappelant aux utilisateurs de vérifier leurs services connectés et d’activer des options de sécurité avancées. Surveillez les canaux officiels de Polymarket pour les mises à jour concernant les comptes affectés et les étapes de résolution dans cette situation en développement.