Polymarket : un bug ouvrait les comptes existants à des voleurs d’identité

Il suffisait de s’inscrire. Selon une enquête du Wall Street Journal, relayée par Gizmodo (article de Gizmodo), un bug du formulaire d’inscription de Polymarket permettait à un escroc de prendre le contrôle d’un compte existant. Il lui fallait seulement les données personnelles de la victime, numéro de sécurité sociale compris, et aucun mot de passe.

500 comptes ouverts en grand

Fin juillet, en tentant de créer un nouveau compte avec l’identité d’un trader déjà inscrit, l’attaquant atterrissait directement dans le compte de sa victime. Près de 500 utilisateurs américains ont été touchés. Les pirates voyaient les positions, l’historique des retraits, et surtout les comptes bancaires et cartes de débit rattachés, vers lesquels ils pouvaient retirer les gains. Un utilisateur a perdu 5 783,51 $. Polymarket parle d’un « problème d’ingénierie » portant sur de petits montants, a crédité 25 $ dans un cas, et promet de couvrir les pertes.

Une fraude de 10 millions en février

L’enquête révèle un autre épisode, en février : une tentative de fraude d’au moins 10 millions de dollars avec des cartes de débit volées (The Block). Une poignée d’utilisateurs menait l’attaque, l’un d’eux a tenté environ 4 000 dépôts. Le prestataire de paiement a rejeté plus de 80 % des dépôts comme frauduleux, là où la norme du secteur tourne autour de 1 %.

Polymarket avait pourtant supprimé une règle anti-blanchiment classique, qui impose de retirer l’argent vers la source qui l’a déposé, malgré les mises en garde de ses propres employés. Son patron, Shayne Coplan, aurait demandé de privilégier la croissance et de régler les amendes plus tard. La CFTC, le régulateur américain des marchés à terme, enquête. En mai, la plateforme a limité le nombre de cartes par compte, ajouté un outil antifraude et renforcé la relecture de son code.

Ce qu’on ne sait pas

Tout repose sur une enquête de presse, nourrie par des témoignages d’employés et de victimes. Polymarket n’a publié aucune analyse de l’incident, et le montant réellement volé reste inconnu : la plupart des dépôts frauduleux de février ont échoué. Contrairement à ce que suggèrent certains titres, rien n’indique non plus que les numéros de carte complets étaient visibles. C’est l’accès au compte qui permettait de s’en servir.

Pour les lecteurs belges, l’affaire reste lointaine : Polymarket figure sur la liste noire de la Commission des jeux de hasard depuis février 2025 (La Libre).

(Une plateforme où l’on parie sur tout n’avait pas vu venir qu’on usurpe l’identité de ses clients. Il y avait pourtant sûrement une cote pour ça 😅)

En bref

• Un bug d’inscription donnait accès aux comptes Polymarket avec les seules données d’identité de la victime.
• Près de 500 comptes américains touchés en juillet, avec cartes et comptes bancaires liés.
• En février, une tentative de fraude de 10 millions de dollars par cartes volées.
• La CFTC enquête, Polymarket n’a publié aucune analyse.

Sources : The Wall Street Journal, Gizmodo, The Block, Clubic.

Le Bien Heureux · Redaction Capibara · Mardi 22 septembre 2026