TechFlow, le 29 septembre, selon Cointelegraph, certains utilisateurs de l'application de marchés prédictifs Polymarket ont récemment signalé avoir subi des attaques provenant de portefeuilles mystérieux. Les attaquants ont exploité la fonctionnalité d'« agent » pour dérober les soldes en USDC des victimes, affectant principalement les utilisateurs se connectant via un compte Google. Un utilisateur nommé HHeego a été attaqué les 5 et 11 août, perdant au total environ 5 197,11 dollars. Un autre utilisateur, Cryptomaniac, a perdu 745 dollars le 9 août.
Le service client de Polymarket reconnaît avoir identifié au moins cinq cas similaires. Les attaquants auraient apparemment utilisé des mots de passe à usage unique envoyés par e-mail pour accéder aux comptes des victimes. Toutefois, les victimes affirment n'avoir jamais utilisé d'adresse e-mail pour accéder à la plateforme. Les utilisateurs de portefeuilles intégrés comme MetaMask ou TrustWallet n'ont pas été touchés.
Polymarket utilise le SDK de Magic Labs pour permettre une connexion sans mot de passe ni phrase de récupération. En théorie, un attaquant aurait besoin d'accéder au compte Google de l'utilisateur afin de s'authentifier. Pourtant, les victimes déclarent ne présenter aucun signe d'intrusion sur leur compte Google. À ce jour, ni Polymarket ni Magic Labs n'ont répondu publiquement à cet incident.
