Le 4 novembre 2026, une proposition sur le forum de gouvernance de Polygon a été soumise, sollicitant l'approbation des validateurs pour un hard fork visant à récupérer environ 70,49 millions de POL provenant d'adresses bloquées à la suite d'incidents survenus avec Polymarket et Binance. Ce changement proposé impliquerait la mise à zéro des soldes natifs des adresses concernées et le crédit de portefeuilles de récupération désignés par les entreprises affectées.
Une requête de récupération spectaculaire
La demande de mise à jour est prévue pour être présentée lors de l'appel de gouvernance du protocole Polygon le 5 novembre à 14h30 UTC. Les détails concernant le bloc d'activation du fork, son nom et la version client restent encore à définir. Actuellement, cette démarche de récupération en est au stade de proposition sur le forum, sans mise à niveau approuvée ou retour de fonds complété.
Cette requête de gouvernance fait suite à l'incident ayant affecté Polymarket. Elle demande au réseau de modifier les soldes de compte par consensus, impactant ainsi les validateurs, les fournisseurs RPC et toute personne cherchant à reconstruire les soldes à partir des transactions. Les destinations de récupération sont exclusivement destinées aux entreprises touchées, aucune distribution directe aux utilisateurs individuels n'étant prévue dans le cadre de ce fork.
Les incidents de Polymarket et Binance
Dans un post-mortem publié par Polymarket le 30 octobre, la société a déclaré que le remboursement était déjà en cours, avec 95 % des portefeuilles affectés remboursés intégralement dans l'après-midi même. Les 3,9 millions de dollars indiqués comprenaient 2,7 millions de dollars additionnels pour les pertes liées à l'interruption de service. Les utilisateurs n'avaient besoin d'aucune réclamation ou ticket, car Polymarket avait pu identifier les portefeuilles éligibles à partir des données sur chaîne et de trading.
Le document de proposition identifie quatre adresses liées à Polymarket et une adresse liée à Binance, regroupées sous la catégorie Class A. Deux montants historiques sont spécifiés, le total Polymarket atteignant 23,862,736.07 POL et le solde de Binance s'élevant à 46,626,593.27 POL, tous deux indiqués à partir de blocs de référence datant du 29 octobre. Toutefois, ces montants ne déterminent pas les montants de paiement définitifs liés au fork.
Nous avons vérifié indépendamment les soldes natifs via Polygon RPC lors de ces blocs précis. À son bloc de référence, l'adresse débutant par 0xe4C4 détenait 15,331,308.287708954252254 POL. Les autres adresses, telles que 0x5392 et 0xc91e, répertoriaient également des soldes significatifs, tandis que la lecture à partir de l'adresse de Binance était de 46,626,593.2666666 POL. Ces vérifications des soldes historiques confirment l'existence de ces montants mais ne déterminent pas leur propriété ou le parcours complet des fonds volés.
Processus d'activation et défis à surmonter
La proposition décrit l'incident de Polymarket comme impliquant environ 28 millions de POL, mentionnant un transfert ultérieur totalisant 3,282,275.71 POL. Les montants reçus et disponibles, ainsi que les transferts entrants, sont des figures distinctes et le processus de récupération ne pourrait tenir compte que des fonds restants sur les adresses listées.
Pour Binance, le document précise que le bloc 96,406,484 a servi de point de transfert pour 46,626,589.6 POL et 6,185,900.1 USDT à partir d'un portefeuille chaud vers 0x5227. Le stablecoin Tether a été gelé selon leurs indications. Cependant, il est important de noter que la proposition ne couvre que le POL natif, alors que d'autres tokens, y compris le USDT, ne sont pas concernés par ce changement.
Avant l'activation, chaque adresse classée de type Class A verrait son solde être mis à zéro, avec des montants correspondants ajoutés aux adresses de récupération désignées. Ce mécanisme vise à conserver l'offre totale du réseau tout en transférant les soldes existants. Un contrôle strict de la propriété de ces adresses sera requis, les participants devant fournir des preuves de contrôle initiales et confirmer la propriété de l'adresse de destination par des messages signés.
Les enjeux de sécurité et d'autorisation
La proposition déclare que les producteurs de blocs élus par les validateurs ont ajouté les adresses des attaquants à la liste des transactions bloquées à la demande des parties affectées. Cependant, cette liste n'a pas de mécanisme pour le retour des fonds. Ainsi, le fork permettrait de changer cet état sans nécessiter la clé privée du détenteur pour autoriser une transaction.
Le mécanisme de blocage en place présente certaines limites : il ne couvre pas toutes les transactions possibles, laissant toujours des opportunités pour les fonds de circuler. Bien que les auteurs n'ait pas identifié de solutions de contournement, ils mettent en garde que le mécanisme ne représente pas une gel complet et permanent des actifs.
En raison de la pression continue exercée sur les producteurs de blocs, un transaction a été notée, offrant environ 219,450 POL le 30 octobre. De plus, l'attaquant aurait contacté les validateurs en offrant des paiements pour débloquer une transaction. Polygon a commencé à explorer des options de récupération sur la chaîne sans avoir reçu des réponses satisfaisantes jusqu'à présent.
Suivi et déploiement de la proposition
Binance a fourni des adresses supplémentaires pour blocage, appelées Class B, qui seront exclues du transfert de récupération. Le document avertit que certaines adresses pourraient être incorrectement classées, ce qui impliquerait une perte potentielle de fonds pour des utilisateurs légitimes, soulignant l'importance de la validation des adresses.
Le processus d'activation repose sur l'approbation via la gouvernance de Polygon, ainsi que sur des rapports post-mortem publiés en harmonie avec l'état en chaîne. Des répétitions seront également nécessaires pour tester la validité du transfert des soldes, sans représenter les transactions d'activation effectives.
Pour que le déploiement soit efficace, un intervalle de deux semaines est envisagé après l'approbation, suffisant pour le développement client et la mise en œuvre. Les validateurs, fournisseurs RPC et explorateurs seront avisés préalablement au lancement du mainnet.
Il est impératif que l'intégralité de la communauté de validateurs se mette à jour, étant donné qu'une non- mise à jour pourrait entraîner le suivi d'une chaîne différente après le bloc d'activation. Les modifications au niveau du protocole nécessiteront une prise en compte adéquate par les outils de comptabilité et d'exploration, car le changement des soldes se produira avant les transactions habituelles.
