Contagious Trader : Hackers Nord-Coréens Visent la DeFi via Bots Polymarket

Imaginez un développeur DeFi passionné qui découvre un bot d’arbitrage sur Polymarket promettant des rendements solides. Il clone le dépôt GitHub, entre sa clé privée dans un fichier .env, lance npm install… et sa machine devient un terminal d’exfiltration aux mains de hackers nord-coréens. C’est exactement ce qui s’est produit avec la campagne Contagious Trader, révélée début juillet 2026. Cette opération sophistiquée révèle une nouvelle ère de menaces où la confiance dans l’open source devient l’arme la plus dangereuse.

La campagne Contagious Trader : une attaque supply chain qui secoue la DeFi

Le 1er juillet 2026, la firme de sécurité SlowMist alertait la communauté sur une série de dépôts GitHub malveillants ciblant particulièrement Polymarket. Derrière cette opération d’envergure se cache un groupe attribué à des acteurs nord-coréens, opérant sous le nom de code Contagious Trader. Ce qui rend cette campagne particulièrement inquiétante, c’est sa capacité à transformer des outils légitimes en pièges mortels pour les développeurs.

En quelques semaines, plus de 50 paquets npm ont été disséminés à travers plus de 100 dépôts. Le faux bot polymarket-arbitrage-bot, publié sous le compte Trum3it, avait déjà accumulé 36 étoiles et 53 forks avant d’être signalé. Chaque installation exécutait silencieusement un infostealer capable de vider des wallets, voler des credentials AWS et compromettre des accès SSH.

Comment une simple dépendance npm non utilisée compromet une machine entière

Le mécanisme est d’une élégance terrifiante. Le package.json du faux bot liste quatre dépendances : le SDK officiel de Polymarket, ethers, dotenv… et clob-client-math. Cette dernière n’est jamais importée dans le code source. Elle s’active uniquement via un script post-install lors de npm install.

Une fois exécutée, la charge malveillante scanne la machine à la recherche de wallets MetaMask, Phantom, Coinbase Wallet, Trust Wallet, mais aussi des mots de passe stockés dans les navigateurs, clés SSH, tokens d’API et configurations Docker. Les développeurs DeFi, qui manipulent souvent clés privées et accès cloud sur la même machine, représentent une cible idéale.

La frontière entre l’outil légitime et le cheval de Troie s’est réduite à une seule ligne dans un fichier package.json.

SafeDep Research

L’art de la crédibilité : copier les vrais succès des bots Polymarket

Les attaquants n’ont pas promis des rendements miraculeux. Ils ont calibré leurs leurres sur des performances réelles documentées. Un bot légitime avait transformé 313 dollars en plus de 400 000 dollars en un mois. Un autre avait généré 2,2 millions de dollars en deux mois. Le faux bot promettait un rendement plus modeste mais crédible d’environ 80 000 dollars par an.

Cette approche psychologique démontre une maturité opérationnelle rare. Au lieu d’attirer par la cupidité extrême, Contagious Trader exploitait la preuve sociale et les analyses publiques existantes. Résultat : des développeurs expérimentés sont tombés dans le piège, convaincus par les étoiles GitHub et les descriptions techniques détaillées.

L’échelle de l’opération : 30 identités jetables et 20 domaines C2

L’investigation conjointe de SafeDep et Panther Labs révèle une infrastructure massive. Plus de 30 comptes npm jetables, une centaine de dépôts GitHub et une vingtaine de domaines de commande et contrôle. Les cibles ne se limitent pas à Polymarket : PancakeSwap, Hyperliquid, Kalshi et Pump.fun sont également visés.

Le 20 mai 2026, un maintainer nommé polymarketdev a publié neuf paquets malveillants en seulement deux minutes. Cette cadence d’automatisation montre que l’opération est industrialisée. Certains comptes de développeurs légitimes ont même été compromis pour servir de vecteurs plus crédibles.

Le détournement d’organisations GitHub vérifiées

Une évolution particulièrement préoccupante concerne le hijacking d’organisations vérifiées comme dev-protocol. Ces entités disposent d’un badge de confiance que les développeurs consultent instinctivement. En mars et mai 2026, des comptes établis ont été pris pour publier des backdoors SSH et des voleurs de fichiers .env.

Cette tactique élève le niveau de sophistication : il ne s’agit plus seulement de créer de faux dépôts, mais de subvertir les mécanismes mêmes de vérification de légitimité de la plateforme GitHub.

Attribution nord-coréenne et contexte géopolitique

Les chercheurs attribuent Contagious Trader à des groupes liés à la Corée du Nord avec un haut niveau de confiance. TRM Labs estimait déjà à 1,6 milliard de dollars les vols crypto réalisés par ces acteurs au premier semestre 2025. Lazarus Group et ses affiliés ont une longue histoire d’opérations supply chain persistantes sur 12 à 24 mois.

Dans un contexte où Polymarket concentre des centaines de millions de dollars de volume hebdomadaire, la plateforme est devenue une cible stratégique. Une campagne de phishing distincte avait déjà drainé près de 3 millions de dollars fin juin 2026.

Gagnants et perdants structurels de cette crise

Cette affaire redessine le paysage de la sécurité DeFi. Certaines entités en sortent renforcées tandis que d’autres paient le prix fort.

Les gagnants

• Les firmes de sécurité comme SafeDep, SlowMist, Panther Labs et StepSecurity voient leur expertise plébiscitée
• Les outils d’audit de dépendances (Socket, OSV, Safety) gagnent en adoption massive
• Les solutions d’environnements isolés et registres npm privés
• Les développeurs ayant déjà adopté des processus DevSecOps rigoureux

Les perdants

• Les développeurs indépendants sans vérification formelle
• Polymarket, qui subit un dommage réputationnel indirect
• Les opérateurs de bots non audités
• L’écosystème npm dans son ensemble, dont la confiance est érodée

Scénarios possibles pour les prochains mois

Trois trajectoires principales se dessinent face à cette menace persistante.

Scénario 1 – Confinement rapide (25% de probabilité) : npm et GitHub réagissent massivement, les paquets sont retirés, les signatures malware intégrées aux antivirus. Aucune nouvelle vague majeure n’apparaît.

Scénario 2 – Persistance opérationnelle (50% de probabilité) : la campagne continue à bas bruit avec de nouveaux clusters. Les développeurs les plus vigilants se protègent, mais une partie de l’écosystème reste exposée.

Scénario 3 – Escalade systémique (25% de probabilité) : une compromission touche un protocole majeur via un développeur infecté, entraînant des pertes massives et une crise de confiance généralisée.

Recommandations concrètes pour les développeurs DeFi

Face à cette menace, l’adoption de bonnes pratiques devient non négociable. Tout d’abord, traitez toute machine ayant exécuté npm install sur des dépôts suspects comme compromise. Procédez à une rotation complète de tous les credentials.

Auditez systématiquement les package.json à la recherche de dépendances déclarées mais non importées. Vérifiez l’historique de publication des maintainers npm : un compte créé récemment avec un seul paquet doit déclencher une alerte maximale.

Implémentez une isolation stricte entre environnements de développement et de production. N’exécutez jamais de bots avec des clés privées actives sur la même machine que vos outils de développement.

Signaux à surveiller dans les prochaines semaines

• Ratio entre nouveaux paquets détectés et paquets retirés par npm
• Désactivation effective des domaines C2 identifiés
• Taux de rotation de credentials par les victimes identifiées
• Intégration des signatures malware dans les scanners de dépendances
• Apparition ou non de nouveaux incidents Polymarket liés à des outils tiers

Perspectives à long terme pour la gouvernance npm dans la crypto

Cette campagne pourrait devenir le catalyseur d’une refonte profonde. Des vérifications d’identité renforcées pour les namespaces sensibles, l’adoption généralisée d’outils d’audit automatisés et une meilleure isolation des credentials pourraient s’imposer comme standards.

Dans le scénario central, le risque supply chain devient un coût opérationnel accepté, avec des campagnes récurrentes. Seuls les projets et développeurs les plus matures s’en sortent indemnes.

Le scénario le plus sombre verrait un exploit majeur via ce vecteur, forçant l’industrie à adopter des mesures drastiques comparables à celles imposées après les grands hacks de smart contracts.

Maxi Doge : une alternative sécurisée face aux leurres malveillants

Face à la prolifération de ces outils piégés, des initiatives transparentes émergent. Maxi Doge se distingue par son architecture claire et son engagement pour la sécurité des utilisateurs. Contrairement aux dépôts suspects, ce projet met l’accent sur la lisibilité du code et la protection des clés privées.

En automatisant les stratégies de trading de manière vérifiable, Maxi Doge offre une voie éthique dans un écosystème où la confiance est devenue une denrée rare. Pour les traders cherchant des solutions fiables, ce type d’approche représente un signal positif important.

La campagne Contagious Trader n’est probablement pas la dernière de son genre. Tant que le registre npm restera ouvert à des publications anonymes et que les développeurs continueront à faire confiance aveuglément aux étoiles GitHub, les acteurs étatiques et criminels disposeront d’un terrain fertile.

Les développeurs DeFi doivent désormais considérer la sécurité supply chain comme un élément central de leur pratique, au même titre que l’audit de smart contracts. La vigilance n’est plus une option : elle est devenue une nécessité vitale pour la survie de l’écosystème.

Cette affaire nous rappelle que dans le monde crypto, la plus grande vulnérabilité reste souvent humaine. Entre curiosité technique et cupidité mesurée, la ligne est fine. Et les hackers nord-coréens l’ont parfaitement comprise.

Restez vigilants, vérifiez tout, et isolez vos credentials. L’avenir de la DeFi dépendra en grande partie de notre capacité collective à durcir nos pratiques de développement face à des adversaires de plus en plus sophistiqués.