Polymarket : La fuite de données contestée révèle un vrai problème de confiance

Polymarket nie toute fuite de données et accuse un pirate présumé de vendre des informations déjà publiques. Le cœur du débat ne porte donc pas seulement sur un piratage. Il porte sur ce qu’une plateforme blockchain peut vraiment qualifier de “public”.

Polymarket retourne l’accusation

L’affaire est sensible, car elle tombe dans un climat de forte nervosité autour de la sécurité crypto. La plateforme de marchés prédictifs affirme qu’aucune base privée n’a été compromise. Selon elle, les données mises en vente proviennent de ses API publiques et des informations visibles on-chain. En clair, Polymarket présente l’incident comme une mauvaise mise en scène, pas comme une intrusion réelle.

Le pirate présumé, connu sous le pseudonyme xorcat, affirme pourtant avoir récupéré plus de 300 000 enregistrements. Il évoque aussi 10 000 profils uniques, avec noms, images de profil, wallets proxy et adresses de base. Ces éléments donnent du poids médiatique à l’accusation, même si leur origine reste contestée.

Polymarket a répondu avec ironie. Son message revient à dire que le hacker tente de monétiser des données déjà offertes gratuitement aux développeurs. Cette défense peut convaincre les habitués de la blockchain. Elle risque toutefois de moins rassurer les utilisateurs ordinaires.

Le flou entre donnée publique et donnée exposée

C’est ici que l’affaire devient plus intéressante. Une donnée publique n’est pas forcément une donnée anodine. Dans le Web3, une adresse, un profil, une activité et des interactions peuvent former une empreinte lisible. Séparément, tout paraît banal. Ensemble, le portrait devient plus précis.

Polymarket insiste sur un principe central de la blockchain : l’auditabilité. Les données on-chain existent pour être vérifiables. C’est une force du système. Mais cette transparence devient plus délicate lorsqu’elle se mélange à des informations de profil et à des API faciles à interroger.

Le hacker affirme avoir utilisé des points de terminaison non documentés, un contournement de pagination et une mauvaise configuration CORS. Polymarket rejette l’idée d’une fuite, mais ce vocabulaire technique suffit à semer le doute. Le public ne juge pas seulement le droit. Il juge la sensation de contrôle.

Une alerte dans un marché déjà tendu

L’affaire arrive après plusieurs semaines difficiles pour la sécurité crypto. Hacken estime que les projets Web3 ont perdu 482,6 millions de dollars au premier trimestre 2026, répartis sur 44 incidents. Le phishing a représenté une large part des pertes, preuve que les failles ne viennent pas toujours du code.

Dans ce contexte, chaque rumeur de fuite prend plus vite feu. Les utilisateurs ont déjà vu trop de plateformes minimiser un incident avant de corriger leur version. Polymarket paie donc aussi pour l’histoire récente du secteur. La confiance ne se décrète plus par communiqué.

Autre détail important : Polymarket dispose bien d’un programme de bug bounty lancé le 16 avril. Il avait déjà reçu 446 rapports mercredi, selon les informations rapportées. Cela contredit l’argument du pirate présumé, qui disait publier les données faute de canal de signalement.

Le vrai enjeu : expliquer sans minimiser

Polymarket a probablement raison sur un point : toutes les données visibles ne relèvent pas d’une fuite. Mais la plateforme doit aussi comprendre l’autre versant du problème. Une donnée publique peut devenir sensible lorsqu’elle est agrégée, nettoyée, triée et vendue comme un paquet exploitable.

Le marché des prédictions vit déjà sous surveillance réglementaire et médiatique. Une polémique sur les données ajoute une couche de fragilité. Même sans piratage confirmé, l’épisode rappelle que la sécurité Web3 ne se limite pas aux smart contracts. Elle touche aussi les API, les interfaces et la pédagogie utilisateur.

La meilleure réponse ne sera donc pas seulement de ridiculiser le pirate présumé. Elle sera de clarifier ce qui est public, ce qui ne l’est pas, et pourquoi. Dans la crypto, la transparence reste une promesse puissante. Mais mal expliquée, elle ressemble vite à une porte entrouverte.

En bref

• Polymarket nie toute fuite de données privées.
• Le pirate présumé vendrait surtout des données publiques agrégées.
• L’affaire expose un vrai malaise autour des API Web3.