{"id":697,"date":"2026-10-01T22:35:35","date_gmt":"2026-10-01T22:35:35","guid":{"rendered":"https:\/\/hoge.gg\/fr\/certik-marches-predictifs-oracle-securite-2026\/"},"modified":"2026-10-01T22:35:35","modified_gmt":"2026-10-01T22:35:35","slug":"certik-marches-predictifs-oracle-securite-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/certik-marches-predictifs-oracle-securite-2026\/","title":{"rendered":"CertiK et les march\u00e9s pr\u00e9dictifs : le risque n’est pas le code"},"content":{"rendered":"Les march\u00e9s pr\u00e9dictifs ont chiffr\u00e9 les \u00e9lections de mi-mandat am\u00e9ricaines du 3 novembre bien avant la fin des spots de campagne. En cet automne 2026, Kalshi et Polymarket sont partout: dans les fils d’actualit\u00e9, sur les \u00e9crans des salles de march\u00e9, et d\u00e9sormais au capital de Wall Street. Le 30 septembre 2026, CNBC s’interrogeait sur les volumes jug\u00e9s \u00ab anormaux \u00bb de certains produits de ces deux plateformes, au moment pr\u00e9cis o\u00f9 leur croissance pulv\u00e9rise les records. CNBC<\/a> a relay\u00e9 les doutes d’analystes sur des \u00e9changes qui gonflent l’activit\u00e9 sans refl\u00e9ter une vraie prise de position.CertiK, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 blockchain derri\u00e8re le tableau de bord Skynet, a consacr\u00e9 un rapport entier \u00e0 ce secteur, le 2026 Skynet Prediction Markets Report. Son chiffre d’appel: un volume de transactions multipli\u00e9 par quatre en un an, pass\u00e9 de 15,8 \u00e0 63,5 milliards de dollars (environ 57,5 milliards d’euros au cours du 1er octobre 2026). CertiK<\/a> situe l’essentiel du danger ailleurs que l\u00e0 o\u00f9 on l’attend. Le risque d’un march\u00e9 pr\u00e9dictif n’est presque jamais dans le smart contract. Il se loge dans l’oracle qui tranche le r\u00e9sultat, dans la couche d’authentification qui garde les comptes, et dans l’int\u00e9grit\u00e9 d’un volume dont une part consid\u00e9rable peut n’avoir jamais exist\u00e9.C’est le paradoxe que CertiK r\u00e9p\u00e8te depuis des mois \u00e0 propos de toute la crypto: on audite le code, mais l’argent s’en va par d’autres portes. Appliqu\u00e9 aux march\u00e9s pr\u00e9dictifs, ce constat a des cons\u00e9quences tr\u00e8s concr\u00e8tes pour le lecteur francophone, puisque l’Autorit\u00e9 nationale des jeux (ANJ) a ordonn\u00e9 cet \u00e9t\u00e9 le blocage de Polymarket en France. \u00ab Audit\u00e9 \u00bb n’a jamais \u00e9t\u00e9 synonyme de \u00ab s\u00fbr \u00bb, et nulle part cette nuance n’est aussi visible que sur un march\u00e9 o\u00f9 une seule adresse peut, parfois, d\u00e9cider du r\u00e9sultat.

Les march\u00e9s pr\u00e9dictifs, le nouveau colosse de la crypto<\/h2>Un march\u00e9 pr\u00e9dictif vend des contrats binaires sur un \u00e9v\u00e9nement futur: une part qui vaudra 1 dollar si l’\u00e9v\u00e9nement se produit, 0 sinon. Le prix d’\u00e9quilibre se lit alors comme une probabilit\u00e9. \u00c0 0,62 dollar, le march\u00e9 estime l’issue \u00e0 62 pour cent. Le principe est ancien; ce qui est nouveau, c’est l’\u00e9chelle. Selon le rapport de CertiK, le volume annuel du secteur est pass\u00e9 de 15,8 milliards de dollars en 2024 \u00e0 63,5 milliards en 2025, et 2026 a prolong\u00e9 la tendance. Yahoo Finance<\/a> a repris ces chiffres \u00e0 la publication du rapport, le 10 f\u00e9vrier 2026.Trois plateformes concentrent l’essentiel de l’activit\u00e9, d’apr\u00e8s le m\u00eame rapport: Kalshi, r\u00e9gul\u00e9e aux \u00c9tats-Unis comme march\u00e9 \u00e0 terme, Polymarket, l’acteur on-chain adoss\u00e9 \u00e0 Polygon, et Opinion. Les capitaux institutionnels ont suivi. En octobre 2025, l’Intercontinental Exchange (ICE), maison m\u00e8re du New York Stock Exchange, a investi 2 milliards de dollars (environ 1,8 milliard d’euros) dans Polymarket, valorisant la plateforme \u00e0 9 milliards. Fortune<\/a> Un an plus tard, \u00e0 l’issue d’un tour de table men\u00e9 par 1789 Capital et boucl\u00e9 en septembre 2026, cette valorisation approchait 21 milliards de dollars (environ 19 milliards d’euros). Quartz<\/a>Polymarket a aussi reconquis le march\u00e9 am\u00e9ricain, dont il \u00e9tait \u00e9cart\u00e9 depuis pr\u00e8s de quatre ans, en rachetant la plateforme QCEX pour 112 millions de dollars (environ 101 millions d’euros) \u00e0 l’\u00e9t\u00e9 2025, transform\u00e9e en QCX LLC, un Designated Contract Market reconnu par la Commodity Futures Trading Commission; la soci\u00e9t\u00e9 a d\u00e9pos\u00e9 fin avril 2026 une demande aupr\u00e8s de la CFTC pour ouvrir ses contrats aux r\u00e9sidents am\u00e9ricains. Cointelegraph<\/a> Le vrai test grandeur nature arrive le 3 novembre: les \u00e9lections de mi-mandat, point d’orgue d’une ann\u00e9e \u00e9lectorale o\u00f9 ces plateformes servent de thermom\u00e8tre politique en temps r\u00e9el.Cette fonction de thermom\u00e8tre est pr\u00e9cis\u00e9ment ce qui \u00e9l\u00e8ve l’enjeu de s\u00e9curit\u00e9. Les cotes de Polymarket et de Kalshi sont d\u00e9sormais cit\u00e9es par les r\u00e9dactions, int\u00e9gr\u00e9es \u00e0 des tableaux de bord de salles de march\u00e9 et scrut\u00e9es par des fonds qui y lisent une probabilit\u00e9 implicite. Quand un oracle est manipul\u00e9 ou qu’un volume est gonfl\u00e9, l’erreur ne reste pas confin\u00e9e aux parieurs: elle contamine une information que des tiers traitent comme un signal fiable. Un march\u00e9 pr\u00e9dictif n’est plus un casino de niche, c’est une infrastructure de pr\u00e9vision, et une infrastructure se juge \u00e0 sa robustesse face aux attaques.
Indicateur<\/th>Chiffre<\/th>Source<\/th><\/tr><\/thead>
Volume du secteur 2024<\/td>15,8 Md$ (~14,3 Md\u20ac)<\/td>CertiK Skynet<\/td><\/tr>
Volume du secteur 2025<\/td>63,5 Md$ (~57,5 Md\u20ac), x4<\/td>CertiK Skynet<\/td><\/tr>
Investissement ICE (oct. 2025)<\/td>2 Md$ (~1,8 Md\u20ac), valorisation 9 Md$<\/td>Fortune<\/td><\/tr>
Valorisation Polymarket (sept. 2026)<\/td>~21 Md$ (~19 Md\u20ac)<\/td>Quartz<\/td><\/tr>
Rachat de QCEX (retour aux \u00c9tats-Unis)<\/td>112 M$ (~101 M\u20ac)<\/td>Cointelegraph<\/td><\/tr>
Wash trading, pic hebdomadaire (d\u00e9c. 2024)<\/td>~60 % du volume<\/td>Columbia \/ CertiK<\/td><\/tr><\/tbody><\/table><\/figure>

Ce que dit vraiment le rapport Skynet de CertiK<\/h2>CertiK n’est pas, \u00e0 notre connaissance, l’auditeur attitr\u00e9 de Polymarket ou de Kalshi: son rapport est un travail de renseignement sur la s\u00e9curit\u00e9 du secteur, produit par l’\u00e9quipe qui alimente le tableau de bord Skynet. Le distinguo compte, car il \u00e9vite de confondre \u00ab CertiK a analys\u00e9 ce march\u00e9 \u00bb et \u00ab CertiK a valid\u00e9 le code de cette plateforme \u00bb. Le diagnostic, lui, tient en une id\u00e9e: les vuln\u00e9rabilit\u00e9s qui co\u00fbtent de l’argent ne sont pas l\u00e0 o\u00f9 un audit de smart contract porte le regard.Skynet, justement, est au coeur de l’approche que d\u00e9fend CertiK: une surveillance continue plut\u00f4t qu’un contr\u00f4le ponctuel. L’audit classique fige une photographie du code au jour de sa publication, alors que les risques, eux, \u00e9voluent apr\u00e8s le d\u00e9ploiement, \u00e0 mesure que les param\u00e8tres changent, que la liquidit\u00e9 migre et que de nouveaux oracles sont branch\u00e9s. Appliqu\u00e9 aux march\u00e9s pr\u00e9dictifs, ce parti pris a du sens: la vuln\u00e9rabilit\u00e9 d’un march\u00e9 n’est pas une propri\u00e9t\u00e9 de son code \u00e0 l’instant T, c’est une condition mouvante qui d\u00e9pend de qui d\u00e9tient les jetons de gouvernance, de quel oracle alimente la r\u00e9solution et de combien de liquidit\u00e9 r\u00e9elle soutient les cotes.Le document range les risques on-chain en trois familles: la manipulation d’oracle, l’usage d\u00e9tourn\u00e9 de cl\u00e9s d’administration, et le front-running, cette course \u00e0 l’ordre d’ex\u00e9cution. blockchainreporter<\/a> Il ajoute une quatri\u00e8me source de fragilit\u00e9, la plus parlante pour notre sujet: les architectures mixtes. \u00ab Les architectures hybrides peuvent cr\u00e9er des points de d\u00e9faillance centralis\u00e9s m\u00eame lorsque les smart contracts sous-jacents restent intacts \u00bb, r\u00e9sume le rapport, qui cite nomm\u00e9ment la compromission subie par Polymarket en d\u00e9cembre 2025. Un contrat parfait n’emp\u00eache pas une porte d\u00e9rob\u00e9e dans la plomberie qui l’entoure.Reste la question du volume. Le rapport estime que l’activit\u00e9 artificielle a fr\u00f4l\u00e9 60 pour cent sur certaines plateformes pendant les pics de \u00ab farming \u00bb d’airdrop. La nuance apport\u00e9e par CertiK est \u00e0 la fois prudente et honn\u00eate: ce bruit \u00ab a fauss\u00e9 les signaux de liquidit\u00e9 et rendu plus difficile la lecture du v\u00e9ritable sentiment de march\u00e9 \u00bb, mais \u00ab les probabilit\u00e9s affich\u00e9es par les grandes plateformes sont rest\u00e9es globalement utiles pour la pr\u00e9vision \u00bb. La manipulation a donc surtout d\u00e9form\u00e9 l’apparence du march\u00e9, moins sa fonction de pr\u00e9vision. C’est rassurant pour le parieur, beaucoup moins pour qui pr\u00e9tend lire ces volumes comme un indicateur d’adoption.

L’oracle, ce juge que personne n’a \u00e9lu<\/h2>Un march\u00e9 pr\u00e9dictif pose une question dont la r\u00e9ponse viendra du monde r\u00e9el: tel candidat sera-t-il \u00e9lu, tel accord sign\u00e9 avant telle date. Encore faut-il que quelqu’un, ou quelque chose, d\u00e9clare l’issue officielle pour d\u00e9bloquer les gains. C’est le r\u00f4le de l’oracle. Polymarket s’appuie sur l’oracle optimiste du protocole UMA: un \u00ab proposeur \u00bb avance un r\u00e9sultat en d\u00e9posant une caution; si personne ne conteste dans une fen\u00eatre donn\u00e9e, le r\u00e9sultat est ent\u00e9rin\u00e9; en cas de litige, ce sont les d\u00e9tenteurs du jeton UMA qui votent pour trancher.Le m\u00e9canisme m\u00e9rite qu’on s’y arr\u00eate, car c’est lui qui concentre le risque. Le proposeur met en jeu une caution: s’il dit vrai et que personne ne conteste, il la r\u00e9cup\u00e8re avec une petite prime; si quelqu’un conteste, l’affaire part en vote aupr\u00e8s des d\u00e9tenteurs d’UMA, et le camp perdant abandonne sa caution. En th\u00e9orie, l’app\u00e2t du gain pousse les votants vers la v\u00e9rit\u00e9, puisque voter faux co\u00fbte de l’argent. En pratique, cet \u00e9quilibre s’effondre d\u00e8s qu’un acteur d\u00e9tient assez de jetons pour \u00eatre certain de faire pencher le vote: il peut alors parier sur le march\u00e9, imposer la r\u00e9solution qui l’arrange, et empocher \u00e0 la fois ses gains et les cautions des honn\u00eates contestataires. L’incitation cens\u00e9e prot\u00e9ger le syst\u00e8me devient l’arme qui le retourne.Le principe est \u00e9l\u00e9gant sur le papier et redoutable en pratique, car il fait reposer la v\u00e9rit\u00e9 sur un vote pond\u00e9r\u00e9 par la d\u00e9tention de jetons. Celui qui poss\u00e8de assez d’UMA p\u00e8se donc sur la d\u00e9finition de ce qui s’est \u00ab r\u00e9ellement \u00bb pass\u00e9. Aucun audit de smart contract ne corrige cela: le code peut \u00eatre impeccable, ex\u00e9cuter fid\u00e8lement le vote, et restituer malgr\u00e9 tout un r\u00e9sultat faux parce que le vote lui-m\u00eame a \u00e9t\u00e9 achet\u00e9. La surface d’attaque n’est pas la ligne de code, c’est la gouvernance de la r\u00e9solution.Le secteur en a pris conscience. Polymarket a entrepris d’int\u00e9grer des oracles de prix comme Chainlink et Pyth pour les march\u00e9s o\u00f9 une donn\u00e9e chiffr\u00e9e et objective (un cours, un indice) peut remplacer un jugement humain, afin de r\u00e9duire le risque de r\u00e8glement. PANews<\/a> Mais pour tout ce qui rel\u00e8ve de l’interpr\u00e9tation (un accord diplomatique a-t-il \u00ab vraiment \u00bb \u00e9t\u00e9 conclu), le juge reste un coll\u00e8ge de porteurs de jetons que personne n’a \u00e9lu et que rien n’oblige \u00e0 l’impartialit\u00e9.

Mars 2025: comment une baleine a fait voter \u00ab oui \u00bb \u00e0 l’oracle<\/h2>L’exemple le plus net date de mars 2025. Un march\u00e9 Polymarket demandait si les \u00c9tats-Unis et l’Ukraine signeraient un accord sur les terres rares avant la fin du mois. Les parieurs tablaient majoritairement sur \u00ab non \u00bb; la probabilit\u00e9 d’un \u00ab oui \u00bb stagnait autour de 9 pour cent. Entre le 24 et le 25 mars, elle a bondi \u00e0 100 pour cent, alors qu’aucun accord n’avait \u00e9t\u00e9 sign\u00e9. CoinDesk<\/a> a document\u00e9 la bascule sur un march\u00e9 qui brassait plus de 7 millions de dollars (environ 6,3 millions d’euros).L’analyse on-chain a remont\u00e9 la piste jusqu’\u00e0 une baleine: un gros d\u00e9tenteur d’UMA qui a vot\u00e9 avec 5 millions de jetons r\u00e9partis sur trois comptes, soit environ 25 pour cent du pouvoir de vote, assez pour imposer la r\u00e9solution \u00ab oui \u00bb contre le consensus des utilisateurs. The Defiant<\/a> Le profil de l’op\u00e9ration rappelle les mouvements que les services de suivi des grandes adresses<\/a> traquent sur les march\u00e9s spot, \u00e0 cette diff\u00e9rence pr\u00e8s qu’ici la baleine ne faisait pas bouger un prix: elle r\u00e9\u00e9crivait un fait. Polymarket a refus\u00e9 tout remboursement, jugeant le r\u00e9sultat inattendu mais sans y voir une d\u00e9faillance du march\u00e9, avant de promettre de \u00ab b\u00e2tir des syst\u00e8mes, une surveillance et davantage pour que cela ne se reproduise pas \u00bb.

Quand le votant est aussi joueur: le conflit d’int\u00e9r\u00eats de l’oracle<\/h2>Le probl\u00e8me d\u00e9passe la seule baleine. Selon une enqu\u00eate du Wall Street Journal, une part notable des march\u00e9s contest\u00e9s de Polymarket aurait \u00e9t\u00e9 tranch\u00e9e par des votants UMA ayant eux-m\u00eames un int\u00e9r\u00eat financier dans l’issue qu’ils jugeaient. Juge et partie: ce n’est pas une m\u00e9taphore, c’est le fonctionnement par d\u00e9faut d’un oracle \u00e0 vote pond\u00e9r\u00e9 par la d\u00e9tention d’un jeton.Les litiges se sont accumul\u00e9s. Un march\u00e9 portant sur une vente de bitcoins li\u00e9e \u00e0 Michael Saylor a \u00e9t\u00e9 r\u00e9solu \u00ab non \u00bb parce que le document de la SEC confirmant l’op\u00e9ration est arriv\u00e9 apr\u00e8s l’\u00e9ch\u00e9ance, au nom d’une r\u00e8gle que des plaignants accusent d’avoir \u00e9t\u00e9 introduite a posteriori; l’affaire est all\u00e9e devant les tribunaux. En avril 2026, un pari \u00e0 16 millions de dollars (environ 14,5 millions d’euros) a d\u00e9clench\u00e9 une nouvelle bataille de r\u00e9solution. Forbes<\/a> Chaque fois, le m\u00eame point faible: la fronti\u00e8re floue entre lire un fait et le d\u00e9cr\u00e9ter.La r\u00e9ponse est venue d’une mise \u00e0 niveau de gouvernance. \u00c0 l’\u00e9t\u00e9 2025, la proposition UMIP-189 a fait basculer Polymarket vers un oracle optimiste \u00ab g\u00e9r\u00e9 \u00bb (Managed Optimistic Oracle V2) qui n’autorise plus que des proposeurs inscrits sur liste blanche; dans la foul\u00e9e, propositions erron\u00e9es et litiges ont nettement reflu\u00e9. Restreindre qui peut prendre la parole, c’est la m\u00eame logique que restreindre qui peut signer une transaction, ce choix entre multisig et MPC<\/a> que les plateformes r\u00e9examinent apr\u00e8s chaque vol. Cela r\u00e9duit la surface; cela ne supprime pas le juge.

D\u00e9cembre 2025: le hack qui n’a pas touch\u00e9 le contrat<\/h2>Si une seule affaire r\u00e9sume le rapport de CertiK, c’est celle de d\u00e9cembre 2025. Le 24, Polymarket a confirm\u00e9 que des comptes d’utilisateurs avaient \u00e9t\u00e9 pirat\u00e9s \u00e0 cause d’une faille, non pas dans ses contrats, mais chez un prestataire tiers d’authentification, Magic Labs, qui g\u00e8re la connexion par e-mail et les portefeuilles Ethereum non-d\u00e9positaires des nouveaux venus. CoinDesk<\/a> Les attaquants ont exploit\u00e9 la connexion en un clic pour contourner la double authentification et prendre la main sur des portefeuilles.Entre le 22 et le 24 d\u00e9cembre, des utilisateurs ont signal\u00e9 des connexions suspectes suivies de soldes vid\u00e9s, beaucoup confirmant que leur appareil \u00e9tait sain, que la double authentification \u00e9tait active et qu’ils n’avaient cliqu\u00e9 sur aucun lien de phishing: les fonds \u00e9taient partis quand m\u00eame. Le Cryptonomist<\/a> Polymarket a d\u00e9clar\u00e9 la faille corrig\u00e9e sans communiquer le nombre de comptes touch\u00e9s ni le montant total; l’analyse on-chain a montr\u00e9 des actifs rapidement fractionn\u00e9s puis blanchis, un sc\u00e9nario familier de vidage de portefeuilles<\/a> et de course \u00e0 la r\u00e9cup\u00e9ration<\/a> des fonds vol\u00e9s.C’est exactement le \u00ab point de d\u00e9faillance centralis\u00e9 \u00bb d\u00e9crit par CertiK. Le smart contract de Polymarket n’a pas \u00e9t\u00e9 touch\u00e9; la br\u00e8che \u00e9tait dans la couche d’identit\u00e9, cette plomberie hybride qui relie une interface grand public \u00e0 une blockchain. Un audit de code impeccable n’y aurait rien chang\u00e9, parce que le code n’\u00e9tait pas le probl\u00e8me.

Le volume fant\u00f4me: jusqu’\u00e0 60 % de wash trading<\/h2>Troisi\u00e8me front, le plus discret: l’int\u00e9grit\u00e9 du volume. En novembre 2025, quatre chercheurs de l’universit\u00e9 Columbia (Allen Sirolly, Hongyao Ma, Yash Kanoria et Rajiv Sethi) ont publi\u00e9 \u00ab Network-Based Detection of Wash Trading \u00bb, une analyse portant sur plus de deux ans de donn\u00e9es on-chain. SSRN<\/a> Leur conclusion: environ 25 pour cent du volume historique de Polymarket proviendrait d’allers-retours d’un m\u00eame acteur ou de comptes coordonn\u00e9s, sans r\u00e9elle prise de position. Des sch\u00e9mas suspects apparaissent dans 14 pour cent des 1,26 million de portefeuilles actifs.Le ph\u00e9nom\u00e8ne n’est pas constant: il a culmin\u00e9 \u00e0 pr\u00e8s de 60 pour cent du volume hebdomadaire en d\u00e9cembre 2024, est retomb\u00e9 sous 5 pour cent en mai 2025, avant de remonter autour de 20 pour cent en octobre. Decrypt<\/a> Les march\u00e9s sportifs sont les plus touch\u00e9s, avec 45 pour cent du volume signal\u00e9 et un pic \u00e0 90 pour cent la semaine du 21 octobre 2024. Deux traits de Polymarket rendent la manoeuvre facile: l’absence de v\u00e9rification d’identit\u00e9 (KYC) et l’absence de frais de transaction, qui permettent de multiplier adresses et allers-retours sans co\u00fbt. Fortune<\/a>Ce faux volume ne vole l’argent de personne, mais il trompe tout le monde. C’est le prolongement d’un d\u00e9bat plus large sur ce que mesure vraiment l’activit\u00e9 d’une plateforme, le m\u00eame que celui autour de l’autre volume crypto<\/a>, celui des exchanges. Le 30 septembre 2026, CNBC rapportait que les volumes de Kalshi et de Polymarket sur certains produits soulevaient pr\u00e9cis\u00e9ment ce type de questions, \u00e0 mesure que l’argent institutionnel afflue. CNBC<\/a>
Incident<\/th>Date<\/th>Nature<\/th>Ampleur<\/th>Source<\/th><\/tr><\/thead>
Manipulation d’oracle (terres rares Ukraine)<\/td>mars 2025<\/td>baleine UMA, ~25 % du vote<\/td>>7 M$ (~6,3 M\u20ac)<\/td>CoinDesk<\/td><\/tr>
Compromission Magic Labs<\/td>d\u00e9c. 2025<\/td>faille d’authentification tierce, 2FA contourn\u00e9e<\/td>montant non communiqu\u00e9<\/td>CoinDesk<\/td><\/tr>
Wash trading (Polymarket)<\/td>2024-2025<\/td>faux volume<\/td>~25 % du volume historique, pic 60 %<\/td>Columbia<\/td><\/tr>
Pari \u00ab clavicular \u00bb<\/td>avr. 2026<\/td>litige de r\u00e9solution<\/td>~16 M$ (~14,5 M\u20ac)<\/td>Forbes<\/td><\/tr><\/tbody><\/table><\/figure>

Le paradoxe de l’audit, version march\u00e9 pr\u00e9dictif<\/h2>Mis bout \u00e0 bout, ces trois fronts dessinent le constat que CertiK mart\u00e8le pour toute la crypto. Son PDG, Ronghui Gu, le formulait ainsi dans Forbes en juillet 2026: \u00ab les attaquants obtiennent un meilleur rendement en s’en prenant \u00e0 la gestion des cl\u00e9s, \u00e0 la gouvernance multisig et \u00e0 l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code \u00bb. Forbes<\/a> Il ajoutait que \u00ab la fen\u00eatre de danger ne se referme pas apr\u00e8s le lancement \u00bb: un projet est audit\u00e9 une fois, passe l’examen, puis ne revisite plus jamais ce code.Un march\u00e9 pr\u00e9dictif est l’illustration presque parfaite de cette th\u00e8se. Son smart contract peut \u00eatre audit\u00e9, v\u00e9rifi\u00e9 formellement, impeccable: cela ne dit rien de l’oracle qui tranche les r\u00e9sultats, rien de la couche d’authentification qui garde les comptes, rien de la sinc\u00e9rit\u00e9 du volume affich\u00e9, rien des cl\u00e9s d’administration qui peuvent suspendre un march\u00e9 ou en changer un param\u00e8tre. L’audit couvre la plus petite part du risque r\u00e9el.Le chiffre le plus r\u00e9cent de CertiK le confirme \u00e0 l’\u00e9chelle du secteur: septembre 2026 a \u00e9t\u00e9 le pire mois de l’ann\u00e9e pour la crypto, avec environ 766 millions de dollars (pr\u00e8s de 693 millions d’euros) d\u00e9rob\u00e9s, tir\u00e9s par deux incidents, le vol chez l’exchange Bitget et l’exploit du Liquid Network, dont aucun n’\u00e9tait un simple bug de contrat. The Crypto Times<\/a> Depuis janvier, le tableau de bord recense environ 2,68 milliards de dollars de pertes sur 656 incidents.
Couche<\/th>Couverte par un audit de smart contract ?<\/th>Risque illustr\u00e9 en 2025-2026<\/th><\/tr><\/thead>
Logique du contrat (mise, r\u00e8glement)<\/td>Oui<\/td>peu d’incidents majeurs<\/td><\/tr>
Oracle de r\u00e9solution (UMA)<\/td>Non (hors p\u00e9rim\u00e8tre)<\/td>manipulation terres rares, >7 M$<\/td><\/tr>
Authentification \/ identit\u00e9 (tiers)<\/td>Non<\/td>compromission Magic Labs, d\u00e9c. 2025<\/td><\/tr>
Int\u00e9grit\u00e9 du volume<\/td>Non<\/td>~25 % de wash trading (Columbia)<\/td><\/tr>
Cl\u00e9s d’administration \/ gouvernance<\/td>Partiellement<\/td>d\u00e9tournement possible, suspensions<\/td><\/tr>
Conformit\u00e9 \/ lutte anti-fraude<\/td>Non<\/td>enqu\u00eate CFTC, fraude aux d\u00e9p\u00f4ts<\/td><\/tr><\/tbody><\/table><\/figure>

Polymarket sous pression: fraude, CFTC et croissance \u00e0 tout prix<\/h2>L’actualit\u00e9 r\u00e9cente a donn\u00e9 corps \u00e0 ces risques \u00ab hors code \u00bb. Selon une enqu\u00eate du Wall Street Journal reprise par Quartz, des fraudeurs ont tent\u00e9 de d\u00e9rober au moins 10 millions de dollars (environ 9 millions d’euros) sur la plateforme am\u00e9ricaine de Polymarket en f\u00e9vrier 2026; le prestataire de paiement aurait signal\u00e9 comme frauduleux plus de 80 pour cent des d\u00e9p\u00f4ts, tr\u00e8s au-dessus de la norme du secteur, autour de 1 pour cent. Quartz<\/a> Le m\u00eame m\u00e9dia rapporte que le patron Shayne Coplan aurait enjoint ses \u00e9quipes de continuer \u00e0 cro\u00eetre, quitte \u00e0 payer une amende si un r\u00e9gulateur venait \u00e0 s’en apercevoir.La CFTC a ouvert une enqu\u00eate et ordonn\u00e9 \u00e0 Polymarket de conserver ses archives, au moment o\u00f9 la soci\u00e9t\u00e9 bouclait sa lev\u00e9e g\u00e9ante. Startup Fortune<\/a> Polymarket s’est d\u00e9fendu: la soci\u00e9t\u00e9 affirme avoir renforc\u00e9 son infrastructure et son encadrement, indique qu’une revue interne men\u00e9e par le cabinet Sullivan & Cromwell a conclu \u00e0 sa conformit\u00e9, et qu’un porte-parole a assur\u00e9 que son dispositif d’int\u00e9grit\u00e9 de march\u00e9 \u00ab comprend des proc\u00e9dures pour d\u00e9tecter et r\u00e9pondre aux activit\u00e9s suspectes \u00bb.La tension est caract\u00e9ristique d’un secteur qui s’institutionnalise \u00e0 marche forc\u00e9e: les volumes explosent, les capitaux de Wall Street entrent, mais le socle de conformit\u00e9, de lutte anti-fraude et de surveillance de march\u00e9, c’est-\u00e0-dire tout ce qu’aucun audit de code ne certifie, peine \u00e0 suivre le rythme.

France: l’ANJ d\u00e9branche Polymarket (mais \u00e9pargne Kalshi)<\/h2>Pour le lecteur fran\u00e7ais, l’histoire a une traduction tr\u00e8s concr\u00e8te. Le 16 juillet 2026, la pr\u00e9sidente de l’Autorit\u00e9 nationale des jeux (ANJ) a ordonn\u00e9 aux fournisseurs d’acc\u00e8s \u00e0 Internet de bloquer Polymarket, visant l’ensemble des sites exploit\u00e9s par la soci\u00e9t\u00e9 Adventure One QSS Inc. l’AFP<\/a> rapporte le motif: les march\u00e9s pr\u00e9dictifs ne sont pas autoris\u00e9s en droit fran\u00e7ais, et l’ANJ avait d\u00e9j\u00e0 alert\u00e9 le public en f\u00e9vrier sur leurs risques, de l’addiction \u00e0 la manipulation de march\u00e9. Le r\u00e9gulateur reproche aussi \u00e0 la plateforme l’absence de syst\u00e8me d’identification (KYC) pour ses utilisateurs fran\u00e7ais et europ\u00e9ens.L’ANJ suivait Polymarket depuis novembre 2024. Une premi\u00e8re mise en demeure avait pouss\u00e9 la soci\u00e9t\u00e9 \u00e0 g\u00e9o-bloquer les transactions financi\u00e8res des utilisateurs fran\u00e7ais, mais la restriction \u00e9tait contourn\u00e9e; avec 578 751 visites depuis des adresses IP fran\u00e7aises pour le seul mois de juin 2026, le r\u00e9gulateur est pass\u00e9 au blocage complet. SGI Europe<\/a> Polymarket a annonc\u00e9 le 22 juillet vouloir contester la d\u00e9cision devant la justice fran\u00e7aise. Fait notable, l’ANJ a \u00e9pargn\u00e9 le rival Kalshi.Ce traitement \u00e9claire une bizarrerie r\u00e9glementaire qui renforce la th\u00e8se de CertiK. En France, un pari binaire sur un r\u00e9sultat politique ou sportif rel\u00e8ve du jeu d’argent, donc de l’ANJ, et non de l’instrument financier; il \u00e9chappe largement au p\u00e9rim\u00e8tre de l’AMF et de MiCA, qui encadrent les crypto-actifs et leurs prestataires depuis la fin de la p\u00e9riode transitoire, le 1er juillet 2026. AMF<\/a> Le m\u00eame produit est donc un instrument financier r\u00e9gul\u00e9 par la CFTC aux \u00c9tats-Unis et un jeu ill\u00e9gal en France. Surtout, le r\u00e9gulateur fran\u00e7ais n’a pas examin\u00e9 une ligne de code: il a regard\u00e9 l’absence de KYC et de protection du joueur. La s\u00e9curit\u00e9 d’un march\u00e9 pr\u00e9dictif se juge l\u00e0 o\u00f9 aucun auditeur de smart contract ne met les pieds.

Oracle d\u00e9centralis\u00e9 contre oracle g\u00e9r\u00e9: les correctifs en cours<\/h2>Le secteur n’est pas rest\u00e9 les bras crois\u00e9s, et il serait injuste de le pr\u00e9senter comme un champ de ruines. Au-del\u00e0 de l’oracle \u00ab g\u00e9r\u00e9 \u00bb et des listes blanches de proposeurs, Polymarket a commenc\u00e9 \u00e0 r\u00e9partir la r\u00e9solution entre plusieurs oracles, en s’appuyant sur Chainlink et Pyth pour les march\u00e9s \u00e0 donn\u00e9e chiffr\u00e9e. PANews<\/a> Le retour aux \u00c9tats-Unis via la structure r\u00e9gul\u00e9e QCX impose, lui, un vrai KYC, ce qui r\u00e9duira m\u00e9caniquement la place du wash trading anonyme sur le p\u00e9rim\u00e8tre am\u00e9ricain.L’arriv\u00e9e des institutionnels pousse dans le m\u00eame sens. Fin septembre 2026, Polymarket a recrut\u00e9 une v\u00e9t\u00e9rane de Goldman Sachs, Lisa Mantil, pour attirer la liquidit\u00e9 de Wall Street, un profil qui vient avec ses propres exigences de conformit\u00e9 et de surveillance. CNBC<\/a> Chaque brique ajout\u00e9e rogne une surface d’attaque.Deux limites demeurent pourtant. D’abord, r\u00e9soudre un \u00e9v\u00e9nement du monde r\u00e9el reste intrins\u00e8quement contestable: aucun oracle ne fera l’unanimit\u00e9 sur la question de savoir si un accord diplomatique a \u00ab vraiment \u00bb \u00e9t\u00e9 conclu. Ensuite, chaque correctif \u00e9change un risque contre un autre: une liste blanche ou un oracle g\u00e9r\u00e9 r\u00e9duisent la manipulation par vote, mais recr\u00e9ent un tiers de confiance qui d\u00e9cide de la r\u00e9alit\u00e9, c’est-\u00e0-dire exactement la cl\u00e9 d’administration que CertiK range parmi les vecteurs d’attaque les plus rentables. On ne supprime pas le juge; on change sa robe.

Comment lire un march\u00e9 pr\u00e9dictif \u00ab audit\u00e9 \u00bb<\/h2>Pour un utilisateur, la le\u00e7on pratique n’est pas de fuir ces plateformes, mais de savoir ce qu’un label de s\u00e9curit\u00e9 couvre et, surtout, ce qu’il ne couvre pas. Cinq questions valent mieux qu’un badge \u00ab audit\u00e9 \u00bb.
  • Que recouvre l’audit au juste ?<\/strong> Un audit porte presque toujours sur le smart contract, pas sur l’oracle de r\u00e9solution, le front-end ou le prestataire d’authentification. Demandez le p\u00e9rim\u00e8tre, pas le logo.<\/li>
  • Qui tranche les litiges, et comment ?<\/strong> Oracle \u00e0 vote pond\u00e9r\u00e9 (manipulable par une baleine), oracle g\u00e9r\u00e9 avec proposeurs sur liste blanche (plus s\u00fbr mais centralis\u00e9), ou multi-oracle? La r\u00e9ponse d\u00e9cide de qui \u00e9crit la r\u00e9alit\u00e9.<\/li>
  • Y a-t-il un KYC et des frais ?<\/strong> Leur absence facilite le wash trading et fausse les volumes; leur pr\u00e9sence est un signe de maturit\u00e9, pas une contrainte inutile.<\/li>
  • Le service est-il l\u00e9gal l\u00e0 o\u00f9 vous r\u00e9sidez ?<\/strong> En France, Polymarket est bloqu\u00e9 par l’ANJ; passer par un contournement, c’est renoncer \u00e0 tout recours.<\/li>
  • Qui garde les fonds ?<\/strong> Portefeuille non-d\u00e9positaire reli\u00e9 \u00e0 une connexion e-mail tierce, ou garde d\u00e9di\u00e9e? La compromission de Magic Labs a montr\u00e9 le co\u00fbt de cette couche.<\/li><\/ul>Le fil conducteur est simple: \u00ab audit\u00e9 \u00bb est un point de d\u00e9part, jamais une conclusion. Le rapport de CertiK ne dit pas que les march\u00e9s pr\u00e9dictifs sont dangereux; il dit que leur danger n’habite pas l\u00e0 o\u00f9 l’industrie a pris l’habitude de le chercher.

    Ce qu’il faut surveiller<\/h2>Le premier rendez-vous est le 3 novembre. Les \u00e9lections de mi-mandat am\u00e9ricaines vont soumettre les oracles \u00e0 une pression in\u00e9dite: des dizaines de march\u00e9s \u00e0 forte charge \u00e9motionnelle et financi\u00e8re, r\u00e9solus en quelques heures, avec des incitations maximales \u00e0 contester ou \u00e0 manipuler. Si le passage \u00e0 l’oracle g\u00e9r\u00e9 tient sous cette tension, l’architecture aura fait ses preuves; sinon, l’affaire des terres rares ressemblera \u00e0 une r\u00e9p\u00e9tition g\u00e9n\u00e9rale.\u00c0 surveiller ensuite: la d\u00e9cision de la CFTC sur l’ouverture de Polymarket aux particuliers am\u00e9ricains et le sort de l’enqu\u00eate sur la fraude aux d\u00e9p\u00f4ts; le recours de la plateforme contre le blocage de l’ANJ, qui fera jurisprudence pour l’Europe; et les prochains bilans mensuels de CertiK, qui diront si la part des pertes \u00ab hors code \u00bb continue de grimper. Apr\u00e8s un mois de septembre \u00e0 766 millions de dollars, la trajectoire n’incite pas \u00e0 l’optimisme.Les march\u00e9s pr\u00e9dictifs sont peut-\u00eatre la meilleure invention de la crypto pour agr\u00e9ger l’information. Ils sont aussi la d\u00e9monstration la plus claire que la s\u00e9curit\u00e9 d’un syst\u00e8me se mesure \u00e0 son maillon le plus faible, et que ce maillon est rarement le code. L’oracle, l’identit\u00e9, le volume, la cl\u00e9 d’administration: voil\u00e0 la vraie partie. Le contrat, lui, n’est que la table de jeu.

    Foire aux questions<\/h2>

    Qu’est-ce que le rapport de CertiK sur les march\u00e9s pr\u00e9dictifs ?<\/h3>Publi\u00e9 le 10 f\u00e9vrier 2026, le 2026 Skynet Prediction Markets Report de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 CertiK analyse un secteur dont le volume a quadrupl\u00e9 en un an, de 15,8 \u00e0 63,5 milliards de dollars. Il conclut que les principaux risques ne viennent pas des smart contracts, mais de la manipulation d’oracle, des cl\u00e9s d’administration, du front-running et des architectures hybrides qui cr\u00e9ent des points de d\u00e9faillance centralis\u00e9s.

    Les march\u00e9s pr\u00e9dictifs comme Polymarket sont-ils s\u00fbrs ?<\/h3>Leurs smart contracts sont rarement le probl\u00e8me. Le danger se concentre sur l’oracle qui tranche les r\u00e9sultats, sur la couche d’authentification (la compromission de Magic Labs en d\u00e9cembre 2025 a vid\u00e9 des comptes malgr\u00e9 la double authentification) et sur l’int\u00e9grit\u00e9 du volume, dont une part importante peut \u00eatre du wash trading. Un march\u00e9 pr\u00e9dictif n’est donc pas \u00ab s\u00fbr \u00bb du seul fait que son code est audit\u00e9.

    Qu’est-ce qu’une manipulation d’oracle sur Polymarket ?<\/h3>C’est l’alt\u00e9ration du processus qui d\u00e9clare le r\u00e9sultat officiel d’un march\u00e9. En mars 2025, un march\u00e9 sur un accord entre les \u00c9tats-Unis et l’Ukraine a \u00e9t\u00e9 r\u00e9solu \u00ab oui \u00bb alors qu’aucun accord n’avait \u00e9t\u00e9 sign\u00e9: une baleine d\u00e9tenant environ 25 pour cent du pouvoir de vote du protocole UMA a impos\u00e9 l’issue. Le code s’est ex\u00e9cut\u00e9 correctement, mais le vote qui le pilotait avait \u00e9t\u00e9 capt\u00e9.

    Polymarket est-il l\u00e9gal en France ?<\/h3>Non. Le 16 juillet 2026, l’Autorit\u00e9 nationale des jeux (ANJ) a ordonn\u00e9 le blocage de Polymarket par les fournisseurs d’acc\u00e8s, estimant que les march\u00e9s pr\u00e9dictifs ne sont pas autoris\u00e9s en droit fran\u00e7ais et que la plateforme n’applique pas de KYC. Polymarket conteste la d\u00e9cision en justice. Le rival Kalshi n’a pas \u00e9t\u00e9 vis\u00e9.

    Un audit CertiK garantit-il la s\u00e9curit\u00e9 d’un march\u00e9 pr\u00e9dictif ?<\/h3>Non. Un audit porte sur le smart contract, soit la plus petite part du risque r\u00e9el. Comme le r\u00e9sume le PDG de CertiK Ronghui Gu, les attaquants gagnent davantage en visant la gestion des cl\u00e9s et l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code. Un label \u00ab audit\u00e9 \u00bb est un point de d\u00e9part, pas une garantie.