Polymarket piraté le même soir que Binance : 2,65 millions $ volés via un prestataire tiers, pour la troisième fois
Éclipse totale. Jeudi 29 octobre vers 19h, heure de Paris, Polymarket a basculé sa plateforme internationale en mode « annulation seulement ». En cause : des retraits non autorisés sur les portefeuilles de ses utilisateurs. Deux heures plus tard, le piratage de Binance emportait 6,3 milliards de dollars. Dès lors, plus personne ne parlait des 2,65 millions partis de chez le leader des marchés prédictifs.
L’affaire mérite pourtant qu’on s’y arrête, parce que c’est la troisième fois en dix mois qu’un prestataire extérieur sert de porte d’entrée aux voleurs.
Les points clés de cet article :
- Les estimations des pertes vont de 2,65 à 2,7 millions de dollars, sur des comptes d’utilisateurs et non sur la trésorerie de la plateforme.
- Polymarket attribue l’intrusion à un fournisseur tiers compromis, a saisi la justice et promet de rembourser intégralement.
- Les échanges ont repris vers 20h, heure de Paris, après environ une heure de blocage des ordres.
- Trois incidents en dix mois (décembre 2025, juin 2026, octobre 2026), à chaque fois par un prestataire extérieur.
Piratage de Polymarket : ce qui s’est passé le 29 octobre
Les premiers signalements sont venus des utilisateurs eux-mêmes. Des positions soldées sans leur accord, des USDC qui quittent leur portefeuille Polymarket vers une adresse inconnue. La plateforme a réagi en coupant la prise de nouveaux ordres, un mode « cancel-only » où l’on peut seulement annuler ce qui est en cours. Le trading a repris vers 20h, une fois le prestataire fautif isolé, selon The Block.
Le montant fait sourire à côté de Binance. DefiLlama compte 2,7 millions de dollars de pertes, The Block 2,65 millions, CoinDesk parle de « moins de 3 millions ». Mais ce sont des fonds d’utilisateurs, pas ceux de l’entreprise, et pour quelqu’un qui avait 50 000 dollars de paris ouverts sur les élections de mi-mandat, la différence est purement théorique.
Selon Polymarket, « l’un de ses prestataires tiers a été compromis ». La plateforme dit avoir saisi les autorités compétentes et promet de rembourser intégralement les utilisateurs touchés. En revanche, elle ne nomme pas le prestataire.
Un prestataire tiers, encore : la chaîne de dépendances de Polymarket
Pour comprendre, il faut regarder comment fonctionne un compte Polymarket. L’utilisateur ne manipule pas de clé privée. Il se connecte avec un e-mail ou un compte Google, et un fournisseur de portefeuilles embarqués crée pour lui une adresse sur Polygon, gère la signature des ordres et le relais des transactions. Ce confort a un prix. Plusieurs entreprises extérieures ont, à un moment ou un autre, le pouvoir de faire bouger les fonds. Or il suffit qu’un pirate en perce une seule.
C’est exactement ce qui s’est produit en juin. Un pirate avait modifié un script tiers chargé par l’interface pour détourner les signatures. Résultat : 3 millions de dollars avaient quitté les comptes des utilisateurs avant que Polymarket ne rembourse. En décembre 2025 déjà, la plateforme reconnaissait une « faille de sécurité chez un fournisseur tiers ». Trois incidents et trois remboursements plus tard, l’angle mort reste le même : la sécurité de Polymarket vaut celle du plus fragile de ses sous-traitants.
La comparaison avec Binance n’est pas flatteuse non plus. Le géant centralisé a perdu 6,3 milliards à cause d’un ordinateur portable d’ingénieur. Le leader décentralisé des paris perd quelques millions à cause d’un prestataire. Dans les deux cas, la faille se trouve chez les humains et leurs outils, jamais dans le protocole lui-même.
Polymarket, 21 milliards de valorisation et un problème de confiance
Le contexte rend la répétition gênante. Son dernier tour de table a valorisé Polymarket à 21 milliards de dollars. La plateforme a aussi obtenu le feu vert pour revenir aux États-Unis, et vient de lancer des contrats de 15 minutes sur l’or, avec les actions et le forex annoncés pour la suite, d’après Fortune. Chaque nouveau produit élargit la surface d’attaque et le nombre de prestataires impliqués.
Le remboursement intégral calme les victimes du jour. Il ne répond pas à la question que se posent les parieurs qui ont des dizaines de milliers de dollars immobilisés sur les élections américaines du 3 novembre : qui d’autre, en dehors de Polymarket, a la main sur leur portefeuille.
Trois incidents tiers en dix mois pour un total d’environ 6 millions de dollars remboursés, cela reste modeste pour une plateforme qui brasse des milliards. En juin, nous écrivions que Polymarket remboursait ses 3 millions sans dire quel fournisseur avait failli. Quatre mois plus tard, la réponse manque toujours, et la liste des prestataires s’est allongée.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.