Consultant en cybersecurite senior
Polymarket hacke : 3 millions de dollars voles via une attaque supply chain sur un fournisseur tiers
Le 25 juin 2026, la plateforme de marches predictifs Polymarket a subi sa deuxieme breche de securite en deux mois. Cette fois, les attaquants n'ont pas vise l'infrastructure de Polymarket directement : ils ont compromis un fournisseur tiers, injecte un script malveillant dans le frontend de la plateforme et derobe pres de 3 millions de dollars a une quinzaine de portefeuilles d'utilisateurs. Une attaque supply chain classique dans son execution, devastatrice dans ses consequences, et riche d'enseignements pour toute entreprise francaise qui depend de prestataires externes.
TL;DR — L'essentiel en 30 secondes
- Attaque supply chain sur Polymarket : le 25 juin 2026, des hackers ont compromis un fournisseur tiers de Polymarket et injecte un script malveillant dans le frontend. Entre 2,9 et 3 millions de dollars derobes a 11-15 portefeuilles via du phishing ciblant les detenteurs de pUSD.
- Deuxieme breche en deux mois : en mai 2026, Polymarket avait deja perdu 700 000 $ via un hack de portefeuille interne. Ce schema de breches repetees revele des failles structurelles dans la gouvernance securitaire.
- Fonds convertis en ETH : les fonds voles ont ete bridges de Polygon vers Ethereum et convertis en 1 893 ETH. Polymarket a contenus l'incident, retire la dependance compromise et promis des remboursements complets.
- Lecons pour les entreprises francaises : inventorier vos fournisseurs, implementer un SBOM, auditer la supply chain, appliquer le Zero Trust aux prestataires et preparer un plan de reponse aux incidents supply chain.
— Ce qui s'est passe le 25 juin 2026
Le mercredi 25 juin 2026, les utilisateurs de Polymarket — la plateforme decentralisee de marches predictifs construite sur Polygon — ont commence a signaler des transactions non autorisees depuis leurs portefeuilles. En quelques heures, l'equipe technique de Polymarket a identifie la cause : un fournisseur tiers dont le code etait integre dans le frontend de la plateforme avait ete compromis. Les attaquants avaient injecte un script malveillant qui ciblait specifiquement les detenteurs de pUSD, le stablecoin utilise sur la plateforme.
Le script malveillant fonctionnait comme un mecanisme de phishing sophistique. Lorsqu'un utilisateur detenant des pUSD interagissait avec le frontend compromis, le script generait des transactions frauduleuses deguisees en operations legitimes. Entre 11 et 15 portefeuilles ont ete vides, pour un montant total estime entre 2,9 et 3 millions de dollars. Les fonds derobes ont ete rapidement bridges de la blockchain Polygon vers Ethereum, puis convertis en 1 893 ETH — une technique classique de blanchiment on-chain visant a complexifier le tracage des actifs.
Timeline de l'incident
Polymarket a reagi en retirant la dependance compromise, en restaurant une version saine du frontend et en communiquant publiquement sur l'incident. La plateforme a promis des remboursements complets aux utilisateurs touches. Mais le mal etait fait : la confiance etait entamee, d'autant plus que cet incident survient a peine deux mois apres un premier hack majeur.
— Anatomie technique : comment fonctionne une attaque supply chain via un fournisseur tiers
Pour comprendre la portee de cet incident, il faut saisir la mecanique d'une attaque supply chain. Le principe est simple : au lieu d'attaquer la cible directement — ce qui exigerait de contourner ses defenses perimetriques — l'attaquant cible un maillon faible de la chaine d'approvisionnement. Dans le cas de Polymarket, ce maillon etait un fournisseur tiers dont le code JavaScript etait charge dynamiquement dans le frontend de la plateforme.
La chaine d'attaque se decompose en quatre phases. Premierement, la compromission du fournisseur : les attaquants ont infiltre l'infrastructure du prestataire tiers, obtenant un acces en ecriture a son code source ou a ses serveurs de distribution. Deuxiemement, l'injection du payload : un script malveillant a ete insere dans le code du fournisseur, concu pour s'activer specifiquement sur le domaine de Polymarket et cibler les transactions pUSD. Troisiemement, la distribution via le canal legitime : le code compromis a ete servi aux utilisateurs de Polymarket via les mecanismes normaux d'integration — aucune alerte, aucune anomalie visible cote infrastructure. Quatriemement, l'exfiltration : les fonds derobes ont ete immediatement deplacees via un bridge cross-chain pour complexifier le tracage.
Ce schema d'attaque n'est pas nouveau. Il rappelle l'attaque SolarWinds de 2020, l'incident Codecov de 2021 ou plus recemment la compromission de la bibliotheque xz-utils en 2024. Le point commun : l'attaquant exploite la confiance inherente que l'organisation accorde a ses fournisseurs. Polymarket n'avait aucune raison de suspecter que le code de son prestataire avait ete altere — jusqu'a ce qu'il soit trop tard.
« L'attaque Polymarket illustre parfaitement le paradoxe de la supply chain moderne : plus une entreprise externalise et integre des services tiers pour accelerer son developpement, plus sa surface d'attaque s'elargit de maniere invisible. En France, 73% des PME et ETI utilisent au moins cinq fournisseurs logiciels critiques sans les avoir jamais audites. Chacun de ces fournisseurs est une porte d'entree potentielle pour un attaquant. »
Thomas Renard, Consultant en cybersecurite senior — WebGuard Agency
— L'historique securitaire trouble de Polymarket : deux breches en deux mois
L'incident du 25 juin n'est pas isole. En mai 2026, Polymarket avait deja subi un hack de 700 000 dollars sur un portefeuille interne. Cet incident precedent impliquait une compromission directe d'un portefeuille controle par la plateforme — un vecteur d'attaque different de la supply chain, mais tout aussi revelateur de failles structurelles dans la posture de securite de l'organisation.
Deux breches en deux mois, totalisant pres de 3,7 millions de dollars de pertes, dressent un tableau preoccupant. Le hack de mai suggerait un probleme de gestion des cles privees et de segmentation des acces internes. Celui de juin revele un manque de controle sur la chaine d'approvisionnement logicielle. Pris ensemble, ces incidents montrent que la securite de Polymarket souffre de lacunes a plusieurs niveaux : gouvernance, controles techniques et visibilite sur les risques tiers.
Pour Polymarket, la promesse de remboursements complets est un geste commercial necessaire, mais elle ne resout pas le probleme de fond. Une plateforme qui gere des centaines de millions de dollars de volume de trading et qui subit deux breches consecutives pose une question fondamentale sur la maturite securitaire de l'ecosysteme Web3 dans son ensemble.
— Comparaison des incidents : mai vs juin 2026
| Critere | Mai 2026 | Juin 2026 |
|---|---|---|
| Type d'attaque | Compromission de portefeuille interne | Supply chain via fournisseur tiers |
| Montant vole | ~700 000 $ | ~2,9-3 000 000 $ |
| Victimes | Polymarket (portefeuille interne) | 11-15 utilisateurs (detenteurs pUSD) |
| Vecteur | Acces direct a l'infrastructure | Injection de script via dependance tierce |
| Blockchain | Polygon | Polygon → Ethereum (bridge) |
| Detection | Monitoring interne | Signalements utilisateurs |
| Remboursement | N/A (fonds Polymarket) | Remboursements complets promis |
« Deux breches en deux mois, deux vecteurs differents : c'est le signe d'une dette securitaire profonde. Quand une organisation subit un incident, la reponse doit inclure un audit complet de toute la surface d'attaque — pas seulement le vecteur exploite. Polymarket a corrige la faille de mai sans apparemment elargir son perimetre d'analyse aux risques tiers. Resultat : un mois plus tard, les attaquants ont simplement utilise une autre porte. »
Thomas Renard, Consultant en cybersecurite senior — WebGuard Agency
— Impact sur l'ecosysteme Web3 et la confiance des utilisateurs
L'incident Polymarket s'inscrit dans une serie de compromissions qui erodent progressivement la confiance des utilisateurs dans les plateformes Web3. En 2026, les attaques supply chain sont devenues le vecteur privilegie des groupes cybercriminels ciblant les plateformes DeFi et les applications decentralisees. La raison est structurelle : l'ecosysteme Web3 depend massivement de bibliotheques JavaScript open source, de SDK tiers et de services d'infrastructure partages. Chacune de ces dependances represente un point de defaillance potentiel.
Pour les utilisateurs, la promesse fondamentale du Web3 — « code is law », la securite par la decentralisation — sonne de plus en plus creux lorsque les pertes s'accumulent. L'ironie est frappante : les smart contracts de Polymarket n'ont pas ete compromis. C'est l'interface web, le frontend centralise, qui a servi de vecteur. La decentralisation du backend ne protege pas si le frontend reste un point de defaillance unique (SPOF) dependant de fournisseurs centralises.
Du cote reglementaire, cet incident pourrait accelerer les discussions autour de la regulation des plateformes de prediction et des services DeFi en Europe. La directive MiCA (Markets in Crypto-Assets), entree en vigueur en 2024, impose deja des exigences de securite aux prestataires de services crypto. Mais les attaques supply chain revelent un angle mort : les exigences portent sur la plateforme elle-meme, pas necessairement sur l'ensemble de sa chaine d'approvisionnement logicielle.
— Le contexte cyber international : Pologne, PTC Windchill et la montee des attaques supply chain
L'attaque Polymarket ne survient pas dans le vide. La semaine du 25 juin 2026 a ete marquee par plusieurs evenements qui illustrent la montee en puissance des attaques supply chain et des compromissions de partenaires a l'echelle mondiale.
En Pologne, les autorites ont arrete quatre membres d'un groupe cybercriminel specialise dans le SIM-swapping. Le point notable : ces criminels n'avaient pas pirate les operateurs telecoms directement. Ils avaient compromis des partenaires de distribution des operateurs, obtenant un acces aux systemes de gestion de cartes SIM via la chaine d'approvisionnement telecom. Le meme schema que Polymarket, applique a un autre secteur : l'attaquant cible le fournisseur, pas la cible finale.
En parallele, la CISA americaine a ajoute au catalogue KEV (Known Exploited Vulnerabilities) la vulnerabilite CVE-2026-12569 affectant PTC Windchill, un logiciel de gestion du cycle de vie des produits (PLM) largement utilise dans l'industrie aeronautique, automobile et manufacturiere. Avec un score CVSS de 9.3, cette faille critique touche un composant de la supply chain industrielle — les entreprises qui dependent de Windchill pour gerer leurs donnees produit sont exposees a une compromission potentielle de l'integralite de leur chaine de conception.
« Ce qui rend les attaques supply chain si redoutables, c'est leur transversalite. Polymarket, les telecoms en Pologne, les industriels avec PTC Windchill — ce ne sont pas les memes secteurs, pas les memes technologies, mais le meme schema : un attaquant qui contourne les defenses de la cible en passant par un tiers de confiance. Pour un RSSI francais, la question n'est plus « est-ce que je serai touche » mais « lequel de mes fournisseurs sera compromis en premier ». »
Thomas Renard, Consultant en cybersecurite senior — WebGuard Agency
Votre supply chain logicielle est-elle securisee ?
WebGuard Agency audite vos fournisseurs tiers et vos dependances en 72h.
Demander un audit supply chain gratuit— 5 lecons pour les entreprises francaises
L'incident Polymarket, bien que situe dans l'ecosysteme Web3, contient des enseignements directement applicables a toute entreprise francaise qui depend de fournisseurs logiciels tiers — c'est-a-dire pratiquement toutes.
1. Inventoriez vos dependances et fournisseurs tiers. La premiere etape est la visibilite. Combien de scripts JavaScript tiers sont charges sur votre site web ? Quelles bibliotheques open source sont integrees dans vos applications ? Quels SaaS ont un acces a vos donnees ? Sans cet inventaire complet — sous la forme d'un SBOM (Software Bill of Materials) — vous ne pouvez pas evaluer votre exposition au risque supply chain. L'ANSSI recommande explicitement cette cartographie dans ses guides d'hygiene informatique.
2. Implementez une verification d'integrite continue. Le code de vos fournisseurs doit etre verifie a chaque chargement. Utilisez Subresource Integrity (SRI) pour les scripts externes, verifiez les hash des dependances dans vos lockfiles, et implementez le Content Security Policy (CSP) pour restreindre les sources de scripts autorises. Si Polymarket avait utilise SRI sur le script de son fournisseur, l'injection aurait ete detectee automatiquement.
3. Appliquez le Zero Trust a vos prestataires. La confiance accordee a un fournisseur ne doit jamais etre implicite ni permanente. Evaluez regulierement la posture de securite de vos fournisseurs critiques, exigez des certifications (ISO 27001, SOC 2), limitez les privileges de chaque integration au strict minimum, et mettez en place des mecanismes de surveillance des comportements anormaux sur les composants tiers.
4. Preparez un plan de reponse specifique aux incidents supply chain. La reponse a une compromission supply chain differe d'un incident classique. Il faut identifier la dependance affectee, evaluer la portee de la compromission (quels utilisateurs, quelles donnees), communiquer avec le fournisseur et les parties prenantes, et restaurer une version saine — le tout sous pression temporelle. Ce scenario doit etre planifie, documente et exerce regulierement.
5. Conformez-vous a NIS2 et anticipez le Cyber Resilience Act. La directive NIS2, en vigueur en France depuis octobre 2024, impose aux entites essentielles et importantes de gerer les risques lies a la supply chain. Le Cyber Resilience Act europeen, attendu pour 2027, renforcera encore ces exigences en imposant des obligations de securite tout au long du cycle de vie des produits numeriques. Les entreprises qui anticipent ces exigences aujourd'hui eviteront des mises en conformite couteuses demain.
« La directive NIS2 change la donne pour les entreprises francaises : la securite de la supply chain n'est plus une bonne pratique optionnelle, c'est une obligation legale. Avec l'article 21 de NIS2, les entites essentielles et importantes doivent demontrer qu'elles gerent activement les risques lies a leurs fournisseurs. L'incident Polymarket montre exactement le type de scenario contre lequel NIS2 est concu pour proteger. Les RSSI qui n'ont pas encore lance un programme de gestion des risques tiers prennent un risque legal en plus du risque securitaire. »
Thomas Renard, Consultant en cybersecurite senior — WebGuard Agency
— Questions frequentes
Que s'est-il passe sur Polymarket le 25 juin 2026 ?
Le 25 juin 2026, Polymarket a subi une attaque supply chain. Des hackers ont compromis un fournisseur tiers dont le code etait integre dans le frontend de la plateforme, et y ont injecte un script malveillant. Ce script ciblait les detenteurs de pUSD via des transactions de phishing, derobant entre 2,9 et 3 millions de dollars a environ 11 a 15 portefeuilles. Les fonds voles ont ete bridges de Polygon vers Ethereum et convertis en 1 893 ETH. Polymarket a retire la dependance compromise et promis des remboursements complets.
Qu'est-ce qu'une attaque supply chain sur un fournisseur tiers ?
Une attaque supply chain sur un fournisseur tiers consiste a compromettre non pas la cible finale mais un de ses prestataires ou une de ses dependances logicielles. L'attaquant infiltre le fournisseur, y injecte du code malveillant qui est ensuite distribue automatiquement a la cible via les mecanismes normaux de mise a jour ou d'integration. C'est un vecteur d'attaque particulierement dangereux car il exploite la confiance inherente entre une organisation et ses fournisseurs, contournant les defenses perimetriques classiques.
Comment les entreprises francaises peuvent-elles se proteger contre les attaques supply chain ?
Cinq mesures prioritaires pour les entreprises francaises : premierement, inventorier toutes les dependances et fournisseurs tiers avec un SBOM (Software Bill of Materials). Deuxiemement, implementer une analyse de composition logicielle (SCA) dans le pipeline CI/CD pour detecter les vulnerabilites connues. Troisiemement, verifier l'integrite du code avec Subresource Integrity (SRI) et Content Security Policy (CSP). Quatriemement, appliquer le Zero Trust aux fournisseurs avec une evaluation continue des risques. Cinquiemement, se conformer a la directive NIS2 qui impose la gestion des risques supply chain aux entites essentielles et importantes.
Est-ce le premier incident de securite de Polymarket ?
Non. L'attaque supply chain du 25 juin 2026 est le deuxieme incident de securite majeur de Polymarket en seulement deux mois. En mai 2026, la plateforme avait perdu environ 700 000 dollars suite a la compromission d'un portefeuille interne. Ce schema de breches repetees — avec des vecteurs d'attaque differents — revele des failles structurelles dans la gouvernance securitaire de Polymarket et pose des questions sur la maturite de l'ecosysteme Web3 en matiere de cybersecurite.
— Pour aller plus loin
Cet article fait partie de notre couverture continue des menaces supply chain et de la cybersecurite des entreprises. Retrouvez nos analyses complementaires :
- Attaque supply chain en entreprise : comprendre et se proteger — Notre guide de reference sur les attaques supply chain et les strategies de defense.
- Comment se proteger contre les attaques supply chain — Les mesures concretes pour securiser votre chaine d'approvisionnement logicielle.
- Analyse de composition logicielle (SCA) — Tout savoir sur le SCA et son role dans la detection des vulnerabilites dans les dependances.
Sources externes : ANSSI — Guide d'hygiene informatique | NIST — Software Supply Chain Security
Securisez votre supply chain avant la prochaine attaque
Les experts WebGuard Agency auditent vos fournisseurs tiers, vos dependances logicielles et la securite de votre chaine d'approvisionnement. Evaluation complete sous 72h.
Contactez nos experts →Pour aller plus loin
Veille cybersecurite
Recevez chaque semaine les dernieres menaces, vulnerabilites et bonnes pratiques directement dans votre boite mail.
Pas de spam. Desinscription en un clic. Environ 1 email par semaine.
— Pret a renforcer votre cybersecurite ?
Rejoignez les entreprises qui font confiance a WebGuard Agency pour proteger leurs actifs numeriques. Premier audit offert.