🗓️ Contexte
Source : SecurityWeek, publié le 2 novembre 2026 par Eduard Kovacs. L’article couvre un incident de supply chain ayant affecté la plateforme de marchés prédictifs Polymarket fin octobre 2026, impliquant le prestataire tiers DebugBear.
🔍 Déroulement de l’attaque
Le 29 octobre 2026, Polymarket a suspendu les échanges sur sa plateforme internationale après que des utilisateurs ont signalé des retraits non autorisés. Les chercheurs de Hudson Rock ont établi que l’activité malveillante provenait d’un script JavaScript malveillant servi depuis une adresse DebugBear chargée par le site Polymarket.
Le script ciblait les traders connectés et effectuait les actions suivantes :
- Vérification des portefeuilles des victimes
- Liquidation de positions ou transfert d’actifs vers un portefeuille contrôlé par l’attaquant
- Lecture de données d’authentification stockées dans le navigateur
- Exploitation des permissions de trading de la session ouverte (pas d’exfiltration de mots de passe, phrases mnémotechniques ou clés privées selon Hudson Rock)
🌐 Vecteur initial : compromission DNS
DebugBear a confirmé que ses enregistrements DNS ont été compromis via son registrar de domaine. La société précise ne pas avoir trouvé d’indication de compromission de ses systèmes internes. L’attaque semble avoir ciblé spécifiquement un seul client (Polymarket n’est pas nommé par DebugBear). DebugBear a également perdu la capacité de recevoir des emails sur son domaine suite à l’incident.
💸 Impact financier
- 726 portefeuilles affectés par des vols directs (~2,7 M$)
- ~5 500 portefeuilles indemnisés pour l’arrêt de trading ou positions liquidées (~1,19 M$)
- Total remboursé par Polymarket : 3,9 M$
🔁 Précédent
Polymarket avait déjà subi un incident similaire en juin 2026, impliquant également la compromission d’un fournisseur tiers ayant conduit à l’injection d’un script malveillant dans son frontend, pour un vol estimé à ~3 M$.
📌 Nature de l’article
Article de presse spécialisée combinant rapport d’incident et premières conclusions techniques, visant à informer la communauté cybersécurité sur un incident de supply chain actif avec impact financier confirmé.
🧠 TTPs et IOCs détectés
TTP
- T1584.002 — Compromise Infrastructure: DNS Server (Resource Development)
- T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
- T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
- T1539 — Steal Web Session Cookie (Credential Access)
- T1657 — Financial Theft (Impact)
Malware / Outils
- Malicious JavaScript RUM script (other)
🟡 Indice de vérification factuelle : 60/100 (moyenne)
- ✅ securityweek.com — source reconnue (liste interne) (20pts)
- ✅ 8746 chars — texte complet (fulltext extrait) (15pts)
- ⬜ aucun IOC extrait (0pts)
- ⬜ pas d’IOC à vérifier (0pts)
- ✅ 5 TTPs MITRE identifiées (15pts)
- ✅ date extraite du HTML source (10pts)
- ⬜ aucun acteur de menace nommé (0pts)
- ⬜ pas de CVE à vérifier (0pts)