Faille chez Polymarket : un portefeuille interne compromis entraîne le vol de plus de 500 000 $ en POL

Ce qui s’est passé

Le 22 mai 2026, la plateforme de marchés prédictifs Polymarket a confirmé un incident de sécurité ayant entraîné le vol de plusieurs centaines de milliers de dollars en tokens POL. Les estimations varient entre 520 000 $ et plus de 660 000 $, selon le moment où les retraits ont été mesurés sur la blockchain.

L’attaque a ciblé un portefeuille opérationnel interne connecté à l’infrastructure UMA CTF Adapter de la plateforme sur le réseau Polygon. Selon Polymarket, les fonds des utilisateurs et les smart contracts principaux n’ont pas été affectés.

La cause identifiée par l’entreprise serait la compromission de la clé privée de ce portefeuille interne, permettant à l’attaquant d’effectuer des transactions valides comme s’il en était le propriétaire.

Le rôle de l’UMA CTF Adapter

Polymarket s’appuie sur l’Optimistic Oracle d’UMA pour déterminer l’issue des événements réels sur lesquels les utilisateurs parient (élections, événements sportifs, décisions politiques, etc.).

L’UMA CTF Adapter sert d’interface entre le système de Conditional Tokens Framework (CTF) de Polymarket et l’oracle d’UMA, afin de permettre la résolution des marchés lorsque les résultats sont vérifiés.

Autrement dit, cet adaptateur constitue un élément important de l’infrastructure technique qui permet de clôturer et régler les marchés prédictifs sur Polygon.

Les premières alertes évoquaient un possible exploit du smart contract. Mais les informations publiées par la suite ont indiqué que la logique du contrat n’avait pas été compromise.

Comment l’attaque a été détectée

L’incident a d’abord été repéré grâce à la surveillance on‑chain réalisée par l’enquêteur blockchain ZachXBT.

En observant les transactions liées aux adresses associées à l’adapter, il a remarqué une série de retraits anormaux : environ 5 000 POL toutes les 30 secondes.

Ce rythme régulier suggérait un drain automatisé plutôt qu’une transaction unique. Les alertes diffusées dans la communauté crypto ont rapidement attiré l’attention sur l’incident, tandis que les analystes suivaient les mouvements de fonds en temps réel.

Comment les fonds ont été déplacés

Les analyses on‑chain ont montré plusieurs étapes typiques d’un vol crypto :

• Au moins deux adresses liées à l’infrastructure de l’adapter ont été vidées pendant l’incident.
• Les tokens POL volés ont été répartis sur plusieurs portefeuilles, une technique courante pour compliquer la traçabilité.
• Une partie des fonds a ensuite été envoyée vers des plateformes d’échange de cryptomonnaies, possiblement pour être convertie ou retirée.

Grâce à la transparence des blockchains publiques, les enquêteurs ont pu suivre ces transferts quasiment en direct.

Pourquoi Polymarket parle d’une clé privée compromise

La distinction faite par Polymarket est importante. L’entreprise affirme qu’il ne s’agit pas d’un exploit de smart contract mais d’une clé privée compromise contrôlant un portefeuille interne.

La différence est essentielle :

• Exploit de smart contract : l’attaquant découvre une faille dans le code et détourne les fonds.
• Clé privée compromise : l’attaquant possède l’autorisation cryptographique de signer des transactions légitimes.

Dans ce cas précis, le système aurait donc fonctionné normalement du point de vue technique, mais sous le contrôle d’un acteur non autorisé.

Ce que Polymarket dit des fonds des utilisateurs

Polymarket a insisté publiquement sur un point : les fonds des utilisateurs n’ont pas été touchés et les mécanismes de résolution des marchés restent sécurisés.

Selon l’entreprise, l’incident était limité à un portefeuille opérationnel interne, utilisé notamment pour certaines fonctions d’infrastructure ou de distribution de récompenses.

La plateforme a indiqué que les marchés et les opérations ont continué normalement malgré l’incident.

Les questions de sécurité encore ouvertes

Malgré ces explications, plusieurs points restent flous au moment des premiers rapports :

• Comment la clé privée a été compromise (fuite, appareil compromis, infrastructure cloud, etc.).
• Pourquoi ce portefeuille disposait de privilèges suffisants pour déplacer des montants importants.
• Pourquoi les retraits répétés ont pu se poursuivre pendant un certain temps avant d’être stoppés.
• Quelles mesures de gestion des clés étaient en place (multisig, modules matériels HSM, limites de retrait).

Sans rapport technique détaillé de la part de l’équipe, les observateurs considèrent pour l’instant que l’incident relève probablement d’une défaillance de sécurité opérationnelle plutôt que d’un bug du protocole.

Une leçon classique pour la sécurité DeFi

L’incident rappelle une réalité bien connue dans la finance décentralisée : même si les smart contracts sont sûrs, la gestion des clés et l’infrastructure opérationnelle restent des points d’attaque majeurs.

Un simple portefeuille compromis peut donner à un attaquant une autorité de signature légitime, contournant ainsi de nombreuses protections du code on‑chain.

Pour les plateformes complexes comme Polymarket — qui combinent oracles, adaptateurs et wallets opérationnels — l’affaire souligne l’importance de contrôles stricts sur les clés privées, la surveillance en temps réel et la séparation des privilèges.