Polymarket : 2,7 M$ volés via le script DNS-hijacké de DebugBear

Ce qui s'est passé

Le 29 octobre 2026, les utilisateurs de Polymarket, la plateforme de marchés prédictifs basée sur la blockchain, ont subi une attaque sophistiquée de type supply chain web qui a conduit au vol de fonds directement depuis leurs portefeuilles connectés. L'incident illustre de manière particulièrement frappante les risques liés au chargement de scripts tiers dans les applications web financières.

Le vecteur d'attaque repose sur un DNS hijacking ciblant DebugBear, un outil de monitoring de performance web que Polymarket utilisait pour mesurer les temps de chargement et l'expérience utilisateur de sa plateforme. DebugBear fournit un snippet JavaScript que les sites intègrent directement dans leurs pages pour collecter des métriques de performance en temps réel. Ce type d'intégration est standard dans l'industrie et utilisé par des milliers de sites web.

Les attaquants ont réussi à compromettre les enregistrements DNS du domaine DebugBear au niveau du registrar de noms de domaine de la société. Cette technique permet de rediriger le trafic vers un serveur sous le contrôle de l'attaquant sans nécessiter d'accès aux systèmes internes de la cible. DebugBear a confirmé avoir subi ce DNS hijacking et avoir vérifié qu'aucun de ses systèmes internes n'avait été compromis directement.

Une fois les enregistrements DNS détournés, les requêtes des navigateurs des traders Polymarket vers le domaine DebugBear retournaient un script JavaScript malveillant au lieu du script de monitoring légitime. Ce script, chargé dans le contexte de la page Polymarket avec les permissions du site, avait accès aux sessions authentifiées des utilisateurs. Il a utilisé ces sessions pour interagir automatiquement avec l'API de Polymarket au nom des utilisateurs connectés : liquidation de positions ouvertes, puis transfert des fonds vers des adresses contrôlées par les attaquants.

L'ensemble de l'opération s'est déroulée à très grande vitesse. Selon BleepingComputer et The Hacker News, qui ont suivi l'incident, les premiers transferts frauduleux ont atteint les portefeuilles des attaquants en moins d'une heure après le début de l'attaque. Cette rapidité suggère un script automatisé optimisé pour maximiser les gains avant détection. Au total, 726 comptes ont été affectés, pour un montant total volé estimé entre 2,5 et 2,7 millions de dollars selon les sources.

Polymarket a réagi en supprimant rapidement le script compromis de sa plateforme, en vidant les caches, en réinitialisant toutes les sessions utilisateurs actives et en suspendant temporairement le trading. La plateforme a ensuite annoncé rembourser l'intégralité des pertes aux comptes affectés, pour un montant total déclaré de 3,9 millions de dollars — supérieur au montant volé, ce qui suggère une compensation pour les positions fermées dans des conditions défavorables.

DebugBear, de son côté, a contacté ses clients utilisant son produit de Real User Monitoring pour leur recommander de retirer immédiatement le code d'intégration de leurs sites en attendant que la sécurité de leur infrastructure DNS soit pleinement rétablie. La société a précisé que seul son DNS avait été compromis, et non ses serveurs ou sa base de code.

Des questions importantes restent sans réponse : comment les attaquants ont-ils obtenu l'accès au compte registrar de DebugBear (phishing, réutilisation de mot de passe, exploitation d'une faille du registrar ?), combien de temps le script malveillant a-t-il été actif avant d'être détecté, et combien de sites autres que Polymarket ont potentiellement été affectés par le script DebugBear malveillant pendant la fenêtre d'exposition.

Pourquoi c'est important

L'attaque Polymarket-DebugBear est un exemple de manuel de ce que la communauté sécurité appelle une attaque de supply chain web ou XSS via tiers. Ce type d'attaque exploite une réalité incontournable du développement web moderne : les applications chargent des dizaines de scripts tiers (analytics, monitoring, chat, publicité, A/B testing) qui s'exécutent avec les mêmes permissions que le code applicatif de premier niveau. Chaque dépendance JavaScript externe constitue une surface d'attaque potentielle.

Ce qui rend cet incident particulièrement préoccupant pour l'industrie fintech et DeFi, c'est que le vecteur d'attaque ne ciblait pas directement Polymarket ni ses smart contracts — qui n'ont pas été affectés. L'attaque a exploité la confiance que la plateforme accordait à un prestataire de services tiers légitime. La sécurité de la plateforme principale peut être exemplaire ; si un seul des dizaines de services tiers qu'elle intègre est compromis, c'est l'ensemble de la posture de sécurité qui peut s'effondrer.

Pour les équipes de sécurité web, cet incident renforce l'importance de plusieurs mesures techniques : l'implémentation stricte d'une Content Security Policy (CSP) qui limite les domaines depuis lesquels des scripts peuvent être chargés et exécutés ; l'utilisation de Subresource Integrity (SRI) qui permet de vérifier cryptographiquement qu'un script tiers n'a pas été modifié ; et la mise en place d'une surveillance proactive des modifications de scripts tiers chargés par l'application.

Du point de vue réglementaire, cet incident soulève également des questions importantes pour les plateformes financières soumises à DORA en Europe. Le règlement sur la résilience opérationnelle numérique impose aux entités financières de cartographier et de gérer rigoureusement les risques liés à leurs prestataires de services tiers, y compris les fournisseurs de scripts et d'outils d'analytics. Un DNS hijacking chez un prestataire de monitoring peut désormais constituer un incident de sécurité déclarable pour une entité régulée.

Ce qu'il faut retenir

• Si vous utilisez DebugBear ou tout autre outil de monitoring tiers chargé via script, vérifiez immédiatement l'intégrité des scripts actuellement servis et envisagez de les héberger vous-même.
• Implémentez Subresource Integrity (SRI) pour tous vos scripts tiers critiques : même si un CDN est compromis, le navigateur refusera d'exécuter un script dont le hash ne correspond plus.
• Auditez votre Content Security Policy : une CSP stricte peut limiter les dommages d'un script tiers compromis en restreignant ses capacités réseau et d'accès aux données sensibles.