Je viens de voir l'affaire de Polymarket, qui a été accusé par des hackers d'avoir divulgué des données, c'est assez intéressant. Il est dit que quelqu'un aurait volé plus de 300 000 enregistrements, comprenant des noms d'utilisateur, des avatars, des adresses de portefeuille, etc., mais Polymarket a immédiatement répliqué que c'était totalement infondé, que ces données étaient déjà publiques en ligne.

Il y a un point plutôt intéressant ici — Polymarket affirme que leurs données sont déjà sur la blockchain, totalement transparentes et vérifiables, ce n'est pas une faille, c'est une caractéristique de conception. Les développeurs et les utilisateurs peuvent tous accéder aux mêmes informations via une API gratuite, donc il n'y a pas besoin de hackers pour « voler » quoi que ce soit. Des chercheurs en sécurité soutiennent aussi cette position, pensant que ce n'est peut-être qu'une analyse des données, et non une intrusion dans une vraie base de données.

Mais cette affaire reflète aussi un vieux problème dans le monde de la cryptographie — comment équilibrer transparence sur la blockchain et vie privée des utilisateurs. Même si techniquement les données sont publiques, exposer des informations sensibles comme le nom d'utilisateur, l'avatar, l'adresse de portefeuille, etc., peut toujours soulever des questions de confidentialité. Les hackers disent qu'ils ont exploité des points d'API non documentés et des erreurs de configuration, ce qui pourrait être la véritable source du problème.

Polymarket mentionne aussi qu'ils ont lancé un programme de récompense pour la découverte de vulnérabilités à la mi-avril, et ont déjà reçu plus de 400 rapports. Il semble que la plateforme réagisse activement, mais si cette attaque pourra être résolue dépendra de la divulgation des détails techniques et de la rapidité des correctifs. En tout cas, avec la fréquence croissante des incidents de sécurité dans le Web3 récemment, tout le monde doit faire preuve de plus de prudence.