Imaginez ouvrir votre application de prédiction crypto un matin ordinaire et découvrir que plusieurs milliers de dollars ont purement et simplement disparu de votre portefeuille. Pas de notification, pas d’alerte, juste un solde qui fond. C’est exactement ce que plusieurs utilisateurs de Predict.Fun ont vécu ce 27 octobre 2026. Au moins 19 adresses liées à cette plateforme de marchés prédictifs ont été vidées d’environ 105 ETH, soit près de 260 000 dollars. Les fonds ont ensuite été acheminés vers Tornado Cash, le fameux mélangeur de cryptomonnaies. L’enquête avance, mais la cause exacte reste pour l’instant dans l’ombre.
Ce Que L’On Sait Sur L’Incident Predict.Fun
Tout a commencé par un signalement isolé. Un utilisateur sous le pseudonyme dethective a annoncé sur X avoir perdu environ 5 000 dollars en une heure. Il a immédiatement soupçonné un problème lié à Predict.Fun, notant que d’autres portefeuilles semblaient également touchés. Son message a servi de point de départ à une investigation plus large menée par l’analyste on-chain Naeven.
Naeven a rapidement identifié 19 victimes. Le montant total s’élève à 105 ETH, soit environ 260 000 dollars au cours du moment. L’enquêteur estime toutefois que le chiffre réel pourrait être plus élevé. Les fonds ont été déplacés via plusieurs adresses intermédiaires, parfois en passant de la BNB Chain vers Ethereum, avant d’aboutir dans Tornado Cash.
Detective semble avoir raison, il se passe quelque chose avec Predict.Fun car plusieurs comptes sont en train d’être vidés. Les fonds sont bridgés vers Ethereum puis envoyés à Tornado Cash. J’ai identifié 19 victimes pour un total de 105 ETH, soit environ 260 000 dollars.
Naeven, enquêteur on-chain
Predict.Fun fonctionne sur la BNB Smart Chain. Les utilisateurs y déposent de l’USDT comme collatéral pour prendre position sur des événements futurs. La plateforme s’appuie sur des contrats de tokens conditionnels pour gérer les positions et les remboursements une fois les marchés résolus. C’est précisément cette architecture qui se retrouve aujourd’hui sous le feu des projecteurs.
Le Rôle Central De Tornado Cash
Une fois les actifs collectés, les attaquants les ont acheminés vers Tornado Cash. Ce protocole de mélange est régulièrement utilisé pour brouiller les pistes. En cassant le lien entre l’adresse d’origine et l’adresse de destination, il rend le suivi des fonds extrêmement difficile. Ce n’est pas la première fois que des fonds issus d’exploits récents atterrissent dans ce mélangeur.
Quelques semaines plus tôt, des portefeuilles liés à l’exploit de Drift Protocol avaient transféré environ 109 millions de dollars en Ether vers Tornado Cash. Dans un autre cas, l’entreprise de sécurité Salus avait suivi 12,4 millions de dollars provenant d’une brèche liée à Triple-A. Le schéma se répète : vol, consolidation, mélange.
Points clés de l’incident Predict.Fun :
- Au moins 19 portefeuilles identifiés comme touchés
- 105 ETH volés, soit environ 260 000 dollars
- Fonds bridgés de BNB Chain vers Ethereum
- Destination finale : Tornado Cash
- Cause exacte encore non déterminée
Comment Les Fonds Ont Circulé
Les diagrammes de transactions publiés par Naeven montrent plusieurs groupes de portefeuilles victimes. Les actifs convergent vers des adresses de collecte, puis passent par d’autres intermédiaires avant d’atteindre Tornado Cash. Certains mouvements sont clairement identifiés comme des ponts entre BNB Chain et Ethereum. D’autres restent purement sur le réseau Ethereum.
Un détail retient l’attention : l’adresse 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa a été signalée comme réceptrice des fonds volés dans le cas initial. Des captures d’écran montraient des transferts de USDT sortant d’une adresse liée à Kernel, ainsi que des interactions antérieures avec un contrat Predict.Fun nommé CTFAutoRedemption. La relation précise entre ces transactions et le vol n’a pas encore été formellement établie.
Les Hypothèses Sur La Méthode Employée
Pour l’instant, les enquêteurs n’ont pas tranché. Plusieurs scénarios restent possibles. Une compromission des permissions de tokens reste l’une des pistes les plus sérieuses. Les utilisateurs de DeFi sont régulièrement invités à signer des autorisations qui donnent à un contrat le droit de dépenser leurs actifs. Une fois ces permissions accordées, un attaquant peut tout retirer en une seule transaction.
Une autre possibilité concerne une vulnérabilité dans l’un des contrats intelligents de la plateforme, notamment ceux gérant les tokens conditionnels ou les remboursements automatiques. Une signature malveillante ou un bug dans la logique de redemption pourrait également expliquer les retraits non autorisés.
Un précédent récent illustre bien le danger des autorisations illimitées. Début octobre, Salus avait analysé des retraits non autorisés de USDG. Les attaquants avaient obtenu des permissions via des signatures de type permit, puis avaient immédiatement vidé les portefeuilles. Les fonds avaient été répartis selon un schéma 80/20 classique des opérations de drainers.
Pourquoi Predict.Fun Est Particulièrement Exposé
Les plateformes de marchés prédictifs accumulent d’importants volumes de collatéral. Les utilisateurs déposent des stablecoins pour prendre position, et ces fonds restent souvent immobilisés jusqu’à la résolution des marchés. Cette concentration d’actifs en fait des cibles privilégiées.
Predict.Fun s’appuie sur des contrats conditionnels qui gèrent les positions et les règlements. Plus la logique est complexe, plus la surface d’attaque s’élargit. Les interactions répétées avec les mêmes contrats multiplient aussi les occasions d’accorder des permissions trop larges.
La présence sur BNB Chain ajoute une couche de complexité. Les ponts entre chaînes sont des points de friction techniques et des opportunités supplémentaires pour des acteurs malveillants. Le passage vers Ethereum avant le mélange final montre une volonté claire d’obscurcir la traçabilité.
Les Réactions Et Les Conseils Aux Utilisateurs
Naeven a été clair : ceux qui détiennent encore des fonds sur Predict.Fun devraient les retirer sans attendre. Même si le nombre exact de victimes pourrait être plus élevé, le principe de précaution s’impose. Attendre une confirmation officielle de la plateforme n’est pas une stratégie raisonnable lorsque des actifs sont en jeu.
Les utilisateurs sont invités à vérifier l’ensemble de leurs autorisations de tokens. Des outils existent pour révoquer les permissions inutiles. Cette hygiène de base reste trop souvent négligée, alors qu’elle constitue l’une des meilleures protections contre les drainers.
Que faire immédiatement si vous utilisez Predict.Fun :
- Retirer tous les fonds restants sur la plateforme
- Vérifier et révoquer les autorisations de tokens inutiles
- Surveiller les mouvements suspects sur vos adresses
- Éviter de signer de nouvelles permissions tant que la situation n’est pas clarifiée
- Documenter toute transaction anormale pour d’éventuelles réclamations
Un Contexte Plus Large D’Attaques Récentes
L’affaire Predict.Fun s’inscrit dans une série d’incidents qui touchent l’écosystème DeFi et les plateformes de prédiction. Les marchés prédictifs gagnent en popularité, attirant à la fois de nouveaux utilisateurs et de nouveaux risques. Les volumes importants et la nature spéculative de ces produits en font des cibles attrayantes.
Les autorités de régulation, notamment aux États-Unis, scrutent de plus en plus ce secteur. La CFTC a multiplié les regards sur les plateformes de prédiction en vue des échéances électorales de 2026. Ces pressions réglementaires s’ajoutent aux risques purement techniques liés aux contrats intelligents.
Les exploits de type drainer restent parmi les plus fréquents. Ils reposent souvent sur de la social engineering ou sur des signatures trompeuses. L’utilisateur croit interagir avec un contrat légitime et se retrouve avec des permissions illimitées accordées à un contrat malveillant. Une fois la signature obtenue, le vol est quasi instantané.
Les Limites Actuelles De L’Enquête
Plusieurs zones d’ombre persistent. Le nombre exact de portefeuilles touchés n’est pas figé. Naeven a clairement indiqué que d’autres victimes pourraient apparaître. La méthode précise utilisée pour accéder aux fonds n’a pas été formellement identifiée. Les hypothèses de permissions compromises, de signatures malveillantes ou de contrat vulnérable coexistent sans qu’aucune ne soit encore privilégiée.
La plateforme elle-même n’a pas encore publié de communication détaillée au moment où ces lignes sont écrites. Ce silence relatif alimente l’inquiétude. Dans de nombreux cas similaires, les équipes techniques mettent plusieurs heures ou plusieurs jours à reconstruire la chronologie exacte des événements.
Les fonds étant passés par Tornado Cash, les chances de récupération pure et simple sont faibles. Les mélangeurs sont conçus précisément pour rendre le suivi impossible une fois les dépôts effectués. Les efforts se concentrent donc davantage sur la compréhension de la faille initiale et sur la protection des utilisateurs restants.
Les Leçons À Tirer Pour L’Écosystème
Cet incident rappelle une vérité souvent oubliée : dans la DeFi, la confiance n’est jamais totale. Même les plateformes qui semblent solides peuvent cacher des vulnérabilités ou être ciblées par des techniques d’ingénierie sociale sophistiquées. La responsabilité de la sécurité repose en grande partie sur l’utilisateur final.
La gestion des autorisations de tokens doit devenir un réflexe. Accorder une permission illimitée à un contrat pour un simple dépôt ou une simple interaction est un risque disproportionné. Les outils de révocation existent et devraient être utilisés régulièrement.
Les plateformes, de leur côté, ont une responsabilité dans la conception de leurs contrats. Limiter les permissions au strict nécessaire, implémenter des délais de carence ou des systèmes de multi-signature pour les opérations sensibles sont autant de pistes d’amélioration. La transparence en cas d’incident est également cruciale pour maintenir la confiance.
L’Impact Sur Les Marchés De Prédiction
Les plateformes de marchés prédictifs occupent une place de plus en plus visible dans l’écosystème crypto. Elles proposent une façon ludique et parfois lucrative de spéculer sur des événements réels. Mais cette popularité croissante s’accompagne d’une exposition accrue aux risques.
Un incident comme celui de Predict.Fun peut freiner l’adoption par de nouveaux utilisateurs. La confiance, une fois ébranlée, met du temps à revenir. Les volumes et la liquidité peuvent en souffrir, même si les autres plateformes du secteur ne sont pas directement concernées.
Dans le même temps, ces événements poussent l’ensemble de l’industrie à renforcer ses pratiques. Les audits de sécurité, les programmes de bug bounty et les mécanismes de protection des utilisateurs deviennent des arguments commerciaux différenciants. Ceux qui les négligent le paient tôt ou tard.
Que Retenir De Cette Affaire
Le 27 octobre 2026 restera dans les annales de Predict.Fun comme le jour où au moins 19 utilisateurs ont vu leurs portefeuilles se vider. 105 ETH, 260 000 dollars, des fonds qui ont filé vers Tornado Cash. L’enquête continue, mais les utilisateurs n’ont pas le luxe d’attendre.
La cause exacte n’est pas encore établie. Permissions compromises, signatures malveillantes ou vulnérabilité contractuelle : toutes les pistes restent ouvertes. Ce qui est certain, c’est que la prudence s’impose. Retirer les fonds, vérifier les autorisations et rester vigilant sont les seuls réflexes raisonnables dans l’immédiat.
Cet épisode s’ajoute à une longue liste d’incidents qui rappellent que la DeFi, pour toute sa promesse de liberté financière, reste un environnement à haut risque. La technologie progresse, les attaquants aussi. La seule constante est la nécessité d’une vigilance permanente.
Les prochains jours diront si d’autres victimes apparaissent et si la plateforme parvient à identifier et corriger la faille. En attendant, les utilisateurs de Predict.Fun et, plus largement, de toutes les plateformes de marchés prédictifs, sont invités à faire preuve de la plus grande prudence. Dans l’univers de la crypto, la sécurité n’est jamais un acquis.
Perspectives Et Vigilance À Maintenir
Au-delà du cas précis de Predict.Fun, cet incident met en lumière la fragilité structurelle de certaines architectures DeFi. Les contrats intelligents, aussi audités soient-ils, restent des programmes exécutés sur des blockchains publiques. Une seule erreur de logique ou une interaction malveillante peut suffire à entraîner des pertes massives.
Les utilisateurs doivent intégrer que chaque signature de transaction est un acte engageant. Lire les détails des permissions demandées, comprendre ce que l’on autorise réellement et limiter la durée ou le montant de ces autorisations sont des gestes de base qui auraient pu, dans certains cas, limiter les dégâts.
Les équipes de sécurité on-chain jouent un rôle crucial dans la détection rapide de ces schémas. Sans le travail d’analystes comme Naeven, le nombre de victimes aurait pu continuer à grimper en silence pendant plusieurs jours. La collaboration entre la communauté et les enquêteurs indépendants reste l’un des meilleurs garde-fous disponibles aujourd’hui.
Enfin, le recours systématique à Tornado Cash par les attaquants pose la question plus large de la traçabilité et de la régulation des outils de confidentialité. Si ces protocoles protègent légitimement la vie privée de nombreux utilisateurs, ils servent aussi de refuge aux fonds issus d’activités illicites. Le débat sur leur avenir réglementaire n’est probablement pas terminé.
Pour l’heure, l’urgence est ailleurs. Les portefeuilles encore exposés doivent être sécurisés. Les permissions doivent être révoquées. Et la communauté attend des réponses claires de la part de Predict.Fun. Dans un secteur où la confiance se construit lentement et se détruit en quelques heures, la transparence n’est pas une option : c’est une obligation.
