ZachXBT accuse Polyarb de fausse prédiction sur le marché avec un wallet drain actif

L’enquêteur on-chain ZachXBT a averti que Polyarb, un site qui se présente comme une plateforme de marché de prédictions, fait tourner un drainer actif de portefeuilles et gagne en portée grâce à des comptes crypto en vue qui répondent à ses publications.

Points clés :

• ZachXBT a averti le 4 mai 2026 que Polyarb héberge un drainer actif de portefeuilles visant les utilisateurs crypto.
• Des comptes en vue qui répondent aux publications de Polyarb amplifient l’arnaque auprès de nouveaux publics, sans s’en rendre compte.
• L’alerte fait suite à la récente mise au jour par ZachXBT d’un cabinet d’avocats américain cherchant à récupérer 71 millions de dollars en fonds gelés liés à Lazarus.

Ce que fait Polyarb

Les drainer de portefeuilles fonctionnent en déguisant l’approbation d’un contrat intelligent malveillant en une transaction de routine, de sorte que, lorsqu’un utilisateur connecte son portefeuille et signe ce qui ressemble à une action de dépôt, de revendication ou d’entrée sur le marché, le drainer déclenche une approbation séparée et cachée qui accorde à l’attaquant un accès complet aux fonds du portefeuille.

Image source: X ZachXBT a mis en évidence en particulier un risque d’amplification, c’est-à-dire qu’un compte crypto proéminent avait répondu à une publication de Polyarb, donnant à la plateforme une portée organique qu’elle n’aurait pas autrement. Répondre au contenu d’une plateforme frauduleuse, même de façon sceptique, met cette plateforme sous les yeux de l’ensemble de l’audience du compte qui répond, laquelle peut compter des millions de personnes, sans aucune indication que la source est malveillante.

Inscrit dans un phénomène plus large

Les plateformes frauduleuses de finance décentralisée (DeFi) et de marchés de prédictions sont devenues un vecteur d’attaque de plus en plus courant en 2026. Les opérateurs d’arnaques exploitent la visibilité croissante de plateformes légitimes comme Polymarket et Kalshi, toutes deux ayant divulgué des relations réglementaires avec la Commodity Futures Trading Commission (CFTC), en créant des sites jumeaux avec une marque similaire et sans contrats audités.

ZachXBT a établi un historique régulier de mise au jour de ces menaces et d’autres menaces connexes avant que de lourdes pertes ne s’accumulent. Plus tôt ce mois-ci, l’enquêteur a révélé qu’un cabinet d’avocats américain (Gerstein Harrow) avait déposé des demandes visant à saisir 71 millions de dollars d’ethereum gelés après l’exploit KelpDAO d’avril 2026 lié au groupe Lazarus, en utilisant un jugement juridique de 2015 contre la Corée du Nord pour se placer en avance sur les véritables victimes de piratage dans toute file de récupération.

Comment rester en sécurité

Avant de connecter un portefeuille à une plateforme de marché de prédictions ou de DeFi, les utilisateurs doivent vérifier l’adresse du contrat par rapport à la documentation officielle de la plateforme et confirmer qu’un audit de contrat intelligent public effectué par un cabinet de sécurité réputé existe. Les signaux d’alerte incluent l’absence de relation réglementaire divulguée, l’absence de contrats audités et des profils sur les réseaux sociaux apparus récemment par rapport au niveau d’activité revendiqué.

Révoquer les approbations de tokens après toute interaction suspecte à l’aide d’outils comme Revoke.cash peut limiter l’exposition en cours si un drainer a déjà été déclenché. Utiliser un portefeuille matériel plutôt qu’un hot wallet basé sur le navigateur contenant des fonds importants lors de la connexion à des plateformes inconnues peut apporter une couche de protection supplémentaire, car chaque transaction nécessite une confirmation physique.