Predict.fun confirme un vol de 400 000 $ et incrimine un site tiers de documents.

Mardi matin, on parlait d'une « faute de sécurité probable » et d'une estimation de 300 000 $. Dans l'après-midi, c'était officiel. Predict.fun, le marché de prédiction de la blockchain BNB, a annoncé qu'environ 400 000 USDT avaient été transférés sans autorisation vers un petit nombre de portefeuilles d'utilisateurs et qu'il rembourserait tous les utilisateurs concernés.

D'un message de colère à une défaite confirmée

Tout a commencé avec un utilisateur du nom de dethective, qui a signalé la disparition d'environ 5 000 $ de son portefeuille en moins d'une heure. « Je ne suis pas la seule victime », a-t-il écrit sur X. Sa capture d'écran montrait une sortie de fonds d'environ 4 845 USDT depuis une adresse nommée Kernel, à côté de transactions antérieures impliquant un contrat Predict.fun. Le lien entre ces transactions et le vol reste à établir.

L'enquêteur Naeven, spécialisé dans la blockchain, a repéré l'incident. Son fil de discussion a identifié 19 victimes ayant perdu au total 105 ETH, soit environ 260 000 $. L'argent a transité par des portefeuilles intermédiaires, a été transféré vers Ethereum, puis déposé sur Tornado Cash. Il conseille à tous ceux qui détiennent encore des fonds sur la plateforme de les retirer immédiatement.

Onchain Lens a ensuite détecté un transfert d'environ 300 000 $ provenant de plusieurs contrats, transitant par des portefeuilles intermédiaires jusqu'au pont Relay, avant d'arriver chez Tornado Cash. L'alerte indiquait que Predict.fun avait probablement été victime d'une exploitation et que d'autres adresses étaient sous surveillance.

Ce que dit Predict.fun

L'équipe a confirmé l'incident sur X. Un petit nombre d'utilisateurs ont constaté des transferts non autorisés pour un montant total d'environ 400 000 USDT. L'hypothèse préliminaire : le site de documentation de l'API, hébergé par un prestataire tiers, aurait été brièvement compromis. Ce site est actuellement hors ligne, sans date de remise en service prévue.

Predict.fun affirme qu'elle remboursera intégralement toutes les personnes ayant subi des pertes financières directes et promet une analyse approfondie une fois l'enquête terminée.

Remarquez ce qui manque : rien n’est dit sur la façon dont un site de documentation peut vider le portefeuille de quelqu’un.

Trois chiffres pour un hack

Onchain Lens a estimé les pertes à 300 000 $. Naeven a comptabilisé 105 ETH, soit environ 260 000 $. Predict.fun avance le chiffre de 400 000 USDT. Crypto Times a également cité un autre observateur évaluant les pertes à plus de 400 000 $. Ces estimations ne sont pas nécessairement contradictoires, car les premiers décomptes sur la blockchain ne prennent en compte que les portefeuilles déjà cartographiés. Cependant, à ce jour, aucun organisme extérieur à l'entreprise ne peut affirmer avec certitude quel chiffre est exact, et celui avancé par l'entreprise reste le plus élevé.

La question du site Docs

Un site de documentation ne devrait pas pouvoir accéder aux fonds de qui que ce soit. Il s'agissait donc soit d'une étape préliminaire à un système qui le permettrait, soit l'explication est incomplète. Predict.fun n'a pas précisé sa position. D'après crypto.news, les enquêteurs n'ont pas encore déterminé si des approbations malveillantes, des signatures invalides ou un contrat défectueux étaient en cause.

L'incident de juin dernier survenu chez Polymarket présente des similitudes. Un fournisseur tiers compromis, un script malveillant inséré dans l'interface, des utilisateurs dont les comptes ont été spoliés, et des remboursements intégraux promis. Specter a estimé les pertes à 2,94 millions de dollars, répartis sur au moins 11 portefeuilles numériques. Rien ne permet d'affirmer publiquement que le cas de Predict.fun se déroule de la même manière. L'enquête post-mortem devra apporter des réponses à cette question.

Qui est démasqué?

Predict.fun a été lancé en décembre 2025. Début avril, la plateforme affichait un volume cumulé de plus de 1,8 milliard de dollars et plus de 4 millions d'ordres, date à laquelle YZi Labs a annoncé un nouvel investissement aux côtés de Susquehanna Crypto. Binance Wallet a intégré l'accès à son application le 9 avril, en prenant en charge les frais de transaction pour les utilisateurs éligibles. L'accès à Predict.fun ne se limite donc pas aux personnes ayant découvert le site par elles-mêmes. Rien ne confirme que les utilisateurs de Binance Wallet aient été touchés.

Le 23 octobre, la TVL de la plateforme DeFiLlama s'élevait à environ 13,71 millions de dollars, selon FinanceFeeds. Predict.fun indique que les pertes proviennent des portefeuilles des utilisateurs ; ce chiffre ne donne donc qu'une idée approximative de l'ampleur du problème.

Tornado Cash à nouveau

Les plateformes de mixage continuent de recevoir les fonds. Plus tôt ce mois-ci, des portefeuilles liés à la faille Drift ont transféré environ 109 millions de dollars en ETH via Tornado Cash en deux jours, et Salus a retracé 12,4 millions de dollars provenant de la faille de sécurité chez AAA vers cette même plateforme de mixage. Une fois les fonds transférés, il est très difficile de les récupérer. C'est pourquoi la promesse de remboursement de Predict.fun est plus précieuse que tout espoir de récupération.

Qu'est-ce qui est encore ouvert?

La cause profonde. Le nombre final de victimes. Quand le site de documentation sera de nouveau en ligne. Predict.fun n'a pas encore communiqué de date pour l'analyse post-mortem.