ZachXBT met Polyarb en cause comme un faux marché de prédiction avec un portefeuille drainer actif

L’enquêteur onchain ZachXBT a averti que Polyarb, un site se présentant comme une plateforme de marché de prédiction, exécute activement un drainer d’adresses et gagne en portée grâce à des comptes crypto en vue qui répondent à ses publications.

Points clés :

• ZachXBT a averti le 4 mai 2026 que Polyarb héberge un drainer d’adresses actif visant les utilisateurs crypto.
• Des comptes en vue qui répondent aux publications de Polyarb amplifient l’arnaque auprès de nouveaux publics, sans s’en rendre compte.
• L’alerte fait suite à la récente mise en lumière par ZachXBT d’un cabinet d’avocats américain cherchant 71 millions de dollars de fonds gelés liés à Lazarus.

Ce que fait Polyarb

Les drainer d’adresses fonctionnent en masquant une approbation de contrat intelligent malveillant comme une approbation de contrat intelligent malveillant, sous l’apparence d’une transaction courante, de sorte que lorsqu’un utilisateur connecte son portefeuille et signe ce qui ressemble à une action de dépôt, de retrait ou d’entrée sur un marché, le drainer déclenche une approbation distincte et cachée qui donne à l’attaquant un accès total aux fonds du portefeuille.

Source : X ZachXBT a en particulier mis en avant un risque d’amplification, c’est-à-dire qu’un compte crypto en vue avait répondu à une publication de Polyarb, offrant à la plateforme une portée organique qu’elle n’aurait pas obtenue autrement. Répondre au contenu d’une plateforme d’arnaque, même de manière sceptique, place cette plateforme devant l’ensemble de l’audience de l’utilisateur qui répond, audience pouvant compter des millions de personnes, sans aucun signe indiquant que la source est malveillante.

Une partie d’un phénomène plus large

Les fausses plateformes de finance décentralisée ( DeFi) et de marchés de prédiction sont devenues un vecteur d’attaque de plus en plus courant en 2026. Les opérateurs d’arnaques exploitent la visibilité croissante de plateformes légitimes comme Polymarket et Kalshi, qui ont toutes deux divulgué des relations réglementaires avec la Commodity Futures Trading Commission (CFTC), en créant des sites miroirs au branding similaire et sans contrats audités.

ZachXBT a établi un historique constant de mise en évidence de ces menaces et d’autres menaces liées avant que des pertes importantes ne s’accumulent. Plus tôt ce mois-ci, l’enquêteur a révélé qu’un cabinet d’avocats américain (Gerstein Harrow) avait déposé des réclamations visant à saisir 71 millions de dollars en ethereum gelés après l’exploit de KelpDAO d’avril 2026 lié au groupe Lazarus, en s’appuyant sur un jugement juridique de 2015 contre la Corée du Nord pour devancer les véritables victimes d’un piratage dans toute file de récupération.

Comment rester en sécurité

Avant de connecter un portefeuille à n’importe quelle plateforme de marché de prédiction ou DeFi, les utilisateurs doivent vérifier l’adresse du contrat par rapport à la documentation officielle de la plateforme et confirmer qu’un audit public de contrat intelligent réalisé par un cabinet de sécurité réputé existe. Les signaux d’alerte incluent l’absence de relation réglementaire divulguée, l’absence de contrats audités et des profils sur les réseaux sociaux qui semblent récents par rapport au niveau d’activité revendiqué.

Révoquer les approbations de tokens après toute interaction suspecte en utilisant des outils comme Revoke.cash peut limiter l’exposition en cours si un drainer a déjà été déclenché. Utiliser un portefeuille matériel, plutôt qu’un portefeuille chaud basé sur le navigateur qui détient des fonds importants, lors de la connexion à des plateformes inconnues, peut apporter une couche de protection supplémentaire, car chaque transaction exige une confirmation physique.