ZachXBT dénonce Polyarb comme un faux marché de prédiction doté d'un système de ponction de fonds

• Le 4 mai 2026, ZachXBT a averti que Polyarb hébergeait un programme de vidage de portefeuilles actif ciblant les utilisateurs de cryptomonnaies.
• Les comptes influents qui répondent aux publications de Polyarb amplifient l'arnaque auprès de nouveaux publics sans s'en rendre compte.
• Cette alerte fait suite à la récente révélation par ZachXBT d'un cabinet d'avocats américain cherchant à récupérer 71 millions de dollars de fonds gelés liés à Lazarus.

Comment fonctionne Polyarb

Les « wallet drainers » fonctionnent en déguisant l'approbation d'un contrat intelligent malveillant en une transaction de routine. Ainsi, lorsqu'un utilisateur connecte son portefeuille et signe ce qui semble être un dépôt, une réclamation ou une opération de marché, le « drainer » déclenche une approbation distincte et cachée qui accorde à l'attaquant un accès complet aux fonds du portefeuille.

ZachXBT a spécifiquement mis en évidence un risque d'amplification : un compte crypto de premier plan avait répondu à une publication de Polyarb, offrant à la plateforme une portée organique qu'elle n'aurait pas pu atteindre autrement. Répondre au contenu d'une plateforme frauduleuse, même avec scepticisme, met cette plateforme en avant auprès de l'ensemble de l'audience de l'utilisateur qui répond, qui peut compter des millions de personnes, sans aucune indication que la source est malveillante.

Un phénomène plus large

Les fausses plateformes de finance décentralisée (DeFi) et de marchés de prédiction sont devenues un vecteur d'attaque de plus en plus courant en 2026. Les opérateurs frauduleux exploitent la visibilité croissante de plateformes légitimes telles que Polymarket et Kalshi, qui ont toutes deux déclaré des relations réglementaires avec la Commodity Futures Trading Commission (CFTC), en créant des sites ressemblants avec une image de marque similaire et sans contrats audités.

ZachXBT a toujours su dénoncer ces menaces et d’autres menaces connexes avant que des pertes importantes ne s’accumulent. Au début du mois, l'enquêteur a révélé qu'un cabinet d'avocats américain (Gerstein Harrow) avait déposé des demandes visant à saisir 71 millions de dollars d'ethereum gelés à la suite de l'exploitation de KelpDAO en avril 2026, liée au groupe Lazarus, en utilisant un jugement rendu en 2015 contre la Corée du Nord pour devancer les victimes réelles du piratage dans toute procédure de recouvrement.

Comment rester en sécurité

Avant de connecter un portefeuille à un marché de prédiction ou à une plateforme DeFi, les utilisateurs doivent vérifier l'adresse du contrat par rapport à la documentation officielle de la plateforme et s'assurer qu'un audit public du contrat intelligent, réalisé par une société de sécurité réputée, existe. Les signaux d'alerte incluent l'absence de relation réglementaire divulguée, l'absence de contrats audités et des profils sur les réseaux sociaux apparus récemment par rapport au niveau d'activité revendiqué.

Révoquer les autorisations de jetons après toute interaction suspecte à l'aide d'outils tels que Revoke.cash peut limiter l'exposition continue si un drainer a déjà été déclenché. Utiliser un portefeuille matériel, plutôt qu'un portefeuille chaud basé sur un navigateur contenant des fonds importants, lors de la connexion à des plateformes inconnues, peut offrir une couche de protection supplémentaire, car chaque transaction nécessite une confirmation physique.