Faille de sécurité chez Polymarket : 520K–700K$ siphonnés via une fuite de clés UMA/Polygon
Faille de sécurité chez Polymarket : des enquêteurs ont rapporté que des sorties suspectes depuis des contrats liés à Polymarket sur Polygon (POL) ont entraîné des pertes en crypto estimées entre environ 520 000 et 700 000 USD.
L’enquêteur blockchain ZachXBT a signalé le problème après un schéma très régulier de retraits depuis des adresses liées à l’UMA CTF Adapter de Polymarket. L’attaquant aurait retiré environ 5 000 POL toutes les 30 secondes, les fonds étant principalement en USDC et POL et transférés vers une adresse contrôlée par l’attaquant.
Polymarket a déclaré que la faille n’avait pas compromis ses contrats intelligents principaux et n’avait pas affecté les fonds des utilisateurs. La cause racine était une clé privée exposée d’un wallet opérationnel interne (âgé d’environ six ans) utilisé pour les paiements de récompenses et les recharges du système. L’équipe a fait une rotation des clés, révoqué les permissions et travaillé avec ZachXBT et les exchanges pour tracer et tenter de récupérer les fonds, notamment en gelant environ 164 000 USD de la valeur drainée.
Pour les traders, l’enseignement principal est que les intégrations de settlement UMA/Optimistic Oracle peuvent ajouter une surface d’attaque au niveau des smart contracts et de la gestion des clés. Bien que les opérations de marché et les résolutions de Polymarket aient apparemment continué sans interruption, l’incident peut malgré tout provoquer une volatilité à court terme du sentiment autour de l’infrastructure des marchés de prédiction et des activités liées à POL.
Neutral
La faille de sécurité de Polymarket semble limitée à une clé privée exposée liée à un portefeuille opérationnel interne, et non à une compromission des contrats principaux. Cela réduit la probabilité de pertes plus larges de fonds utilisateurs ou d'échecs de règlement, de sorte que le risque systémique immédiat pour l'écosystème des marchés de prédiction est limité.
Cependant, le vidage automatisé et répété par l'attaquant des adresses UMA CTF Adapter — et l'implication de la couche de règlement UMA/Optimistic Oracle — renforcent les risques liés aux smart contracts et à la gestion des clés. Même si les fonds des utilisateurs sont déclarés sains et que les résolutions de marché se poursuivent, l'événement peut néanmoins peser sur le sentiment à court terme autour de POL et de l'infrastructure des marchés de prédiction. L'effet net sur le prix est donc probablement limité et davantage entraîné par le sentiment que par les fondamentaux.