ZachXBT signale Polyarb comme un faux marché de prédiction avec un drainer de portefeuille actif

L’enquêteur onchain ZachXBT a averti que Polyarb, un site qui se présente comme une plateforme de marché de prédiction, exécute un wallet drainer actif et gagne en portée grâce à des comptes crypto en vue qui répondent à ses publications.

Points clés :

• ZachXBT a averti le 4 mai 2026 que Polyarb héberge un wallet drainer actif visant les utilisateurs crypto.
• Des comptes de premier plan qui répondent aux publications de Polyarb amplifient l’arnaque auprès de nouveaux publics sans s’en rendre compte.
• L’alerte fait suite à la récente mise en lumière par ZachXBT d’un cabinet d’avocats américain cherchant à récupérer 71 millions de dollars en fonds gelés liés à Lazarus.

Ce que Polyarb fait

Les wallet drainers fonctionnent en dissimulant une approbation malveillante de contrat intelligent comme une transaction de routine, de sorte que lorsqu’un utilisateur connecte son portefeuille et signe ce qui ressemble à une action de dépôt, de retrait ou d’entrée sur un marché, le drainer déclenche une approbation séparée et cachée qui accorde à l’attaquant un accès total aux fonds du portefeuille.

Image source: X ZachXBT a mis en évidence un risque d’amplification, c’est-à-dire qu’un compte crypto en vue avait répondu à une publication de Polyarb, offrant à la plateforme une portée organique qu’elle n’aurait pas obtenue autrement. Répondre, même de manière sceptique, au contenu d’une plateforme d’arnaque met cette plateforme sous les projecteurs devant l’audience entière de l’utilisateur qui répond, qui peut compter des millions de personnes, sans aucun signe indiquant que la source est malveillante.

Une partie d’un phénomène plus large

Les fausses plateformes de finance décentralisée (DeFi) et de marché de prédiction sont devenues en 2026 un vecteur d’attaque de plus en plus courant. Les opérateurs d’arnaques exploitent la visibilité croissante de plateformes légitimes comme Polymarket et Kalshi, qui ont toutes deux divulgué des relations réglementaires avec la Commodity Futures Trading Commission (CFTC), en créant des sites jumeaux avec un branding similaire et sans contrats audités.

ZachXBT a établi un historique constant en révélant ces menaces et d’autres menaces apparentées avant que des pertes significatives ne s’accumulent. Plus tôt ce mois-ci, l’enquêteur a révélé qu’un cabinet d’avocats américain (Gerstein Harrow) avait déposé des demandes visant à saisir 71 millions de dollars en ethereum gelé après l’exploit KelpDAO d’avril 2026 lié au groupe Lazarus, en s’appuyant sur un jugement juridique de 2015 contre la Corée du Nord pour se placer en avance sur les véritables victimes de piratage dans n’importe quelle file de récupération.

Comment rester en sécurité

Avant de connecter un portefeuille à n’importe quelle plateforme de marché de prédiction ou DeFi, les utilisateurs doivent vérifier l’adresse du contrat par rapport à la documentation officielle de la plateforme et confirmer qu’un audit public de contrat intelligent réalisé par une entreprise de sécurité reconnue existe. Les signaux d’alerte incluent l’absence de relation réglementaire divulguée, l’absence de contrats audités et des profils sur les réseaux sociaux apparus récemment par rapport au niveau d’activité revendiqué.

Révoquer les approbations de jetons après toute interaction suspecte à l’aide d’outils comme Revoke.cash peut limiter l’exposition en cours si un drainer a déjà été déclenché. Utiliser un wallet matériel, plutôt qu’un hot wallet géré par le navigateur détenant des fonds significatifs, lors de la connexion à des plateformes inconnues, peut ajouter une couche de protection supplémentaire, car chaque transaction exige une confirmation physique.