Le bot de trading de niveau supérieur Polycule sur Polymarket a été attaqué. Comment le projet de marché de prédiction doit-il renforcer sa sécurité ?

Auteur : ExVul Security, société de sécurité Web3

一、Résumé de l’événement

Le 13 janvier 2026, Polycule a confirmé que son robot de trading Telegram avait été piraté, avec environ 230 000 dollars de fonds d’utilisateurs volés. L’équipe a rapidement publié une mise à jour sur X : le robot a été mis hors ligne, un correctif a été déployé en urgence, et il a été promis que les utilisateurs affectés du côté Polygon seraient indemnisés. Depuis la veille au soir jusqu’à aujourd’hui, plusieurs annonces ont alimenté la discussion sur la sécurité dans le domaine des robots de trading Telegram.

二、Comment fonctionne Polycule

La position de Polycule est très claire : permettre aux utilisateurs de naviguer sur le marché, gérer leurs positions et leurs fonds via Telegram sur Polymarket. Les modules principaux incluent :

Ouverture de compte et tableau de bord : /start attribue automatiquement un portefeuille Polygon et affiche le solde, /home et /help offrent des accès et des instructions.

Marché et trading : /trending, /search, ou coller directement une URL Polymarket permettent d’obtenir les détails du marché ; le robot propose des ordres au marché / limite, l’annulation d’ordres et la visualisation de graphiques.

Portefeuille et fonds : /wallet permet de consulter les actifs, retirer des fonds, échanger POL/USDC, exporter la clé privée ; /fund guide le processus de recharge.

Pont inter-chaînes : intégration approfondie avec deBridge, aidant les utilisateurs à transférer des actifs depuis Solana, avec une déduction par défaut de 2% en SOL pour convertir en POL pour le gaz.

Fonctionnalités avancées : /copytrade ouvre l’interface de copie de trading, permettant de suivre selon un pourcentage, un montant fixe ou des règles personnalisées, avec options de pause, de suivi inverse, de partage de stratégies, etc.

Le Polycule Trading Bot gère la communication avec l’utilisateur, analyse les commandes, et en arrière-plan, gère les clés, signe les transactions et surveille en continu les événements sur la blockchain.

Après avoir saisi /start, le système génère automatiquement un portefeuille Polygon et conserve la clé privée. L’utilisateur peut ensuite continuer avec des commandes comme /buy, /sell, /positions pour consulter, trader et gérer ses positions. Le robot peut aussi analyser des liens web Polymarket pour fournir directement le point d’entrée au trading. Les fonds inter-chaînes passent par deBridge, permettant de bridge SOL vers Polygon, avec une déduction par défaut de 2% en SOL pour convertir en POL pour payer le gaz. Les fonctionnalités avancées incluent Copy Trading, ordres limités, surveillance automatique de portefeuilles cibles, nécessitant un serveur en ligne en permanence pour signer les transactions.

三、Risques communs aux robots de trading Telegram

Derrière une interaction conviviale en mode chat, se cachent plusieurs vulnérabilités de sécurité difficiles à éviter :

Premièrement, presque tous les robots stockent la clé privée des utilisateurs sur leurs serveurs, et effectuent des signatures de transactions en leur nom. Cela signifie qu’en cas de piratage du serveur ou de fuite accidentelle de données, un attaquant peut exporter en masse ces clés privées, volant ainsi tous les fonds des utilisateurs en une seule fois. Deuxièmement, l’authentification repose sur le compte Telegram lui-même : si l’utilisateur est victime d’un détournement de SIM ou perd son appareil, l’attaquant peut contrôler le compte du robot sans connaître la phrase de récupération. Enfin, il n’y a pas de confirmation locale par popup — contrairement à un portefeuille traditionnel où chaque transaction doit être confirmée manuellement par l’utilisateur —, dans le mode robot, une erreur dans la logique backend peut entraîner un transfert automatique de fonds à l’insu de l’utilisateur.

四、Les vulnérabilités spécifiques révélées par la documentation de Polycule

En analysant la documentation, on peut supposer que cet incident et les risques futurs potentiels se concentrent principalement sur les points suivants :

Interface d’exportation de la clé privée : /wallet permet aux utilisateurs d’exporter leur clé privée, indiquant que le backend stocke des données de clés réversibles. En cas d’injection SQL, d’interface non autorisée ou de fuite dans les logs, un attaquant pourrait exploiter cette fonction pour exporter directement ces clés, ce qui correspond fortement à la situation du vol.

Analyse d’URL pouvant déclencher une SSRF : le robot encourage l’utilisateur à soumettre des liens Polymarket pour obtenir des informations de marché. Si la validation de ces entrées est insuffisante, un attaquant peut falsifier des liens pointant vers des ressources internes ou des métadonnées cloud, permettant au backend d’être victime d’un “piège” et de voler des identifiants ou des configurations.

Logique d’écoute du Copy Trading : suivre un portefeuille cible implique que le robot doit suivre et reproduire ses opérations. Si les événements écoutés peuvent être falsifiés ou si le système manque de filtres de sécurité, l’utilisateur en copie pourrait être entraîné dans un contrat malveillant, avec un risque de verrouillage ou de vol direct des fonds.

Pont inter-chaînes et échange automatique : le processus d’échange automatique de 2% de SOL en POL dépend des taux de change, du slippage, des oracles et des droits d’exécution. Si ces paramètres ne sont pas strictement vérifiés dans le code, un attaquant pourrait augmenter la perte lors du bridge ou détourner le budget de gas. De plus, une validation insuffisante des reçus de deBridge peut entraîner des risques de rechargements frauduleux ou de double comptabilisation.

五、Conseils pour l’équipe du projet et les utilisateurs

Ce que l’équipe peut faire : publier un retour technique complet et transparent avant la reprise du service ; réaliser des audits spécifiques sur le stockage des clés, la séparation des permissions, la validation des entrées ; revoir les contrôles d’accès serveur et le processus de déploiement ; introduire une double confirmation ou des limites pour les opérations critiques afin de réduire les dommages potentiels.

Ce que les utilisateurs doivent faire : limiter la taille des fonds dans le robot, retirer rapidement les gains, activer en priorité la double authentification Telegram et la gestion sur appareils séparés. Avant que le projet ne fasse des engagements de sécurité clairs, il vaut mieux attendre et éviter d’ajouter des fonds.

六、Conclusion

L’incident de Polycule rappelle une fois de plus : lorsque l’expérience de trading se résume à une commande en chat, les mesures de sécurité doivent également évoluer. Les robots de trading Telegram resteront à court terme une porte d’entrée populaire pour le marché des prédictions et des memecoins, mais ce domaine continuera d’être une cible privilégiée pour les attaquants. Nous recommandons aux projets de considérer la sécurité comme une partie intégrante du produit, en communiquant régulièrement sur les avancées ; les utilisateurs doivent aussi rester vigilants et ne pas considérer la messagerie comme un gestionnaire d’actifs sans risque.