Près de 500 utilisateurs américains de Polymarket ont été touchés fin juillet par une attaque frauduleuse qui ne nécessitait ni mot de passe, ni nom d’utilisateur, ni téléphone compromis, selon un article du Wall Street Journal publié samedi. Une personne qui tentait de créer un nouveau compte en utilisant les informations personnelles d’un trader existant, comme un numéro de sécurité sociale volé, s’est apparemment retrouvée propulsée dans le profil en direct de ce trader. Les comptes bancaires liés et les cartes de débit sont également devenus accessibles, indique le rapport.
Avec le martelage apparemment constant de nouvelles violations de données de nos jours, la capacité d’accéder au compte de quelqu’un d’autre en utilisant des données personnelles comme mot de passe représente une vulnérabilité de sécurité incroyable. Il y a seulement quelques semaines, 153 millions de permis de conduire ont été mis en vente après la violation d’une entreprise de vérification d’identité.
Le Journal, citant une personne au fait de l’affaire, a décrit l’épisode comme un problème d’ingénierie et a indiqué que le montant total volé via l’exploit était faible. Cependant, des utilisateurs ont raconté une autre histoire dans des entretiens avec le média. Ils ont décrit des pertes atteignant des milliers de dollars et des semaines de messages de support restés sans réponse.
Un utilisateur de Polymarket aux États‑Unis a confié au Journal qu’il avait rejoint la plateforme de marché de prédictions pour parier sur la Coupe du Monde. En juillet, il s’est connecté pour découvrir que ses positions avaient été vendues et que des gains de 5 783,51 dollars avaient été envoyés sur une carte de débit qui ne lui appartenait pas. Polymarket a crédité son compte de 25 dollars et n’a fourni aucune explication. L’utilisateur a déclaré avoir déposé des rapports auprès de la police locale, du FBI et de la Commodity Futures Trading Commission (CFTC). « Polymarket US est resté silencieux pendant des semaines et des semaines », a-t-il déclaré. Le support a ensuite mis son compte en pause après qu’il ait soumis à deux reprises des informations de vérification, sans toutefois traiter les fonds manquants.
Une porte-parole de Polymarket a déclaré au Journal que l’entreprise couvrirait l’argent perdu lors de cet incident. L’entreprise n’a pas publié d’analyse publique post‑incident sur la faille lors de l’inscription.
Croissance à tout prix
L’attaque de juillet s’inscrit dans un cadre plus large que le Journal décrivait d’une société qui considérait l’acceptation de la fraude comme un coût nécessaire à l’expansion. En février, le processeur de paiements Checkout.com avait averti Polymarket que des voleurs reliaient des cartes de débit volées à des milliers de nouveaux comptes américains, finançaient des paris et tentaient de transférer l’argent vers des cartes propres ou des comptes qu’ils contrôlaient. La tentative de vol aurait atteint au moins 10 millions de dollars. À un moment donné, Checkout.com a rejeté plus de 80 % des dépôts traités comme frauduleux, contre une référence sectorielle d’environ 1 %.
Des employés ont porté le problème au CEO Shayne Coplan, mais le souvenir de l’équipe conformité de sa réponse était que Coplan avait recommandé de continuer à croître et de payer une amende si les régulateurs l’apprenaient un jour.
Les taux de fraude sont restés élevés pendant des mois après février. Selon le Journal, ils seraient revenues à des normes industrielles d’ici mai après que Polymarket a limité le nombre de cartes de débit par compte et recruté le prestataire antifraude Riskified. Certains clients ont été remboursés tandis que d’autres ont récupéré leur argent par le biais de leurs banques.
Polymarket et Kalshi : nombreuses controverses
La faille d’identité de juillet n’était pas le seul problème de sécurité de Polymarket cette année. En juin, l’entreprise a déclaré qu’un vendeur tiers compromis avait injecté un script malveillant dans l’interface frontend de son site pour certains utilisateurs. Les moniteurs de blockchain ont estimé que le débit de fonds résultant du piratage s’élevait à environ 3,1 millions de dollars en PUSD, le jeton-dollar de Polymarket, répartis sur au moins 11 portefeuilles. Polymarket a indiqué avoir retiré la dépendance et rembourserait les utilisateurs concernés dans leur intégralité. William LeGate, responsable de l’expérience, a écrit sur X qu’il n’y avait « aucune perte utilisateur » en raison de ces remboursements.
Cet incident s’est produit la même semaine qu’un autre rapport du Wall Street Journal selon lequel Polymarket avait payé des créateurs de contenu sur les réseaux sociaux pour filmer de faux trades gagnants sur des versions répliques de son site.
Le trading d’initiés est également devenu un problème apparemment sans fin sur les marchés de prédiction comme Polymarket et Kalshi. En mai, un ingénieur de Google a été accusé d’avoir participé à une série de paris sur les personnes les plus recherchées sur Google, que les procureurs affirment s’appuyaient sur des données de recherche internes. Des responsables de campagne ont décrit l’utilisation de sondages internes non publiés pour trader avant que les chiffres ne soient rendus publics. Même George Santos est accusé de parier contre sa propre apparition à l’Allocution d’État après avoir publié qu’il serait présent; Kalshi a renvoyé ce dossier aux autorités fédérales. Bien sûr, les cas les plus préoccupants concernent des opérations militaires au Venezuela et en Iran.
Polymarket et Kalshi interdisent le trading d’initiés sur le papier et ont mis en place des politiques pour prévenir ce genre d’activité. De plus, Polymarket a durci les mesures à l’encontre des utilisateurs utilisant des VPN, les interdictions et blocages s’étendant à plus de 30 juridictions, notamment l’Espagne, l’Indonésie, la France et le Royaume‑Uni.
Il y a aussi le combat contre des États qui affirment que les contrats sportifs sur les marchés de prédiction équivalent à des bookmakers non licenciés. Au moins 20 affaires en cours à ce sujet en février dernier, et 38 États ont rejoint un mémoire d’amicus soutenant le Maryland contre Kalshi. Le gouverneur de l’Utah, Spencer Cox, a qualifié ces produits de « gambling, pure et simple », tandis que la CFTC a demandé aux États de prendre leurs distances.
Les marchés de prédiction continuent néanmoins de croître
Évidemment, rien de tout cela n’a ralenti la croissance de l’industrie. Le volume mensuel combiné sur Kalshi et les deux plates-formes Polymarket est passé de moins de 2 milliards de dollars en août de l’année dernière à un pic d’environ 50,6 milliards de dollars en juillet, selon The Block. Août a ensuite chuté de 15 % à 45,3 milliards de dollars, la première baisse mensuelle en un an après l’effet Coupe du Monde. Pendant la Coupe du Monde, Kalshi à lui seul a affiché entre 1 et 1,25 milliard de dollars de volume sportif sur certains jours. Cette réussite a également conduit des bookmakers traditionnels comme DraftKings et FanDuel à s’impliquer.
En effet, les contrats sportifs ont été un moteur clé de la croissance de l’industrie des marchés de prédiction, ce qui a conduit à des critiques selon lesquelles il s’agit en réalité d’un jeu de hasard dégénéré par un autre nom. Haralabos Voulgaris, ancien directeur analytics des Dallas Mavericks et célèbre parieur NBA, a résumé ce point de vue en réagissant à la nouvelle sur le nouveau contrat de LeBron James avec Polymarket. « 15 millions de dollars pour aider à habituer une génération d’enfants au gambling, c’est un choix », a écrit Voulgaris sur X, ajoutant « LeShame ».
James devrait toucher environ 15 millions de dollars par an pour approuver Polymarket, soit plus de trois fois le montant que les Philadelphia 76ers lui versent pour jouer au basket-ball cette saison.
Pourtant, les partisans des marchés de prédiction soutiennent que les données sur les probabilités des événements futurs offrent un avantage sociétal distinct, sous la forme de signaux plus pertinents sur la probabilité que ces événements se réalisent. En effet, un document de travail de la Réserve fédérale, portant sur les contrats de Kalshi émis plus tôt cette année, a trouvé que ses marchés sur les fonds fédéraux et sur l’indice des prix à la consommation offraient des améliorations statistiquement significatives par rapport aux contrats sur les fonds fédéraux et aux prévisionnistes professionnels.
