Polymarket ha quedado bajo un nuevo escrutinio después de que un informe del 19 de septiembre dijera que los estafadores usaron tarjetas de débito robadas en su plataforma de EE. UU. en febrero para intentar al menos $10 millones en retiros y apuestas ilícitos.
Resumen
- Según los informes, Polymarket enfrentó al menos $10 millones en intentos de fraude con tarjetas robadas durante febrero de este año.
- Según los informes, Checkout.com rechazó más del 80% de los depósitos de Polymarket US como fraudulentos durante el pico de febrero.
- Polymarket dice que las tasas de fraude luego volvieron a los niveles normales de la industria después de que se introdujeran controles de tarjetas más estrictos.
- Polymarket US opera a través de QCX, un mercado de contratos designado por la CFTC sujeto hoy a la supervisión federal de derivados.
- Polymarket contrató recientemente a Warren Jenson como CFO mientras amplía el personal de cumplimiento, investigaciones y gestión de riesgos.
The Wall Street Journal informó que los criminales vincularon tarjetas robadas a miles de cuentas de Polymarket US, las financiaron y luego intentaron mover el dinero mediante operaciones antes de retirarlo a tarjetas o cuentas que controlaban.
Según los informes, Polymarket vio tasas de rechazo por fraude superiores al 80%
En el pico del ataque de febrero, el procesador de pagos Checkout.com rechazó más del 80% de los depósitos que gestionó para Polymarket como fraudulentos, según el Journal. El periódico comparó esa tasa con un nivel de la industria de aproximadamente el 1%.
La cifra del 80% no ha sido confirmada de forma independiente por Checkout.com en una declaración pública revisada para este informe. Checkout.com sí proporciona a los comerciantes herramientas de puntuación de fraude, filtrado de transacciones y autenticación, mientras que sus términos de servicio actuales establecen que los comerciantes siguen siendo responsables de decidir si las transacciones se aceptan o se cancelan.
Empleados actuales y anteriores dijeron al Journal que los trabajadores de cumplimiento escalaron las preocupaciones sobre el aumento al CEO de Polymarket, Shayne Coplan. Según personas citadas por el periódico, Coplan respondió: “Solo sigan creciendo y paguen una multa si los reguladores alguna vez se enteran”.
Polymarket no ha confirmado públicamente que Coplan hiciera ese comentario. La compañía dijo al Journal que mantiene procedimientos para identificar y responder a actividades sospechosas y que sigue comprometida a cooperar con los reguladores y las autoridades policiales.
La cifra de $10 millones representa la cantidad que los estafadores supuestamente intentaron mover, no una pérdida confirmada sufrida por los clientes o Polymarket. Los informes públicos revisados para este artículo no proporcionan un monto final retirado con éxito mediante el esquema de febrero.
Las restricciones de tarjetas ayudaron a reducir las tasas de fraude para mayo
El Journal informó que el fraude elevado continuó durante varios meses después de febrero, aunque las tasas de rechazo no volvieron al pico registrado durante la primera ola. Para mayo, según los informes, las tasas de fraude habían vuelto hacia niveles normales de la industria después de que Polymarket limitara cuántas tarjetas de débito los usuarios podían conectar a sus cuentas y trajera a Riskified como proveedor externo antifraude.
Un informe anterior de The Information había descrito por separado que los operadores de mercados de predicción, incluido Polymarket, fortalecieron los controles de fraude con tarjetas después de que los criminales usaran credenciales de pago robadas e identidades falsas para crear cuentas. Según los informes, Visa presionó a los procesadores de pagos para que endurecieran la selección a medida que aumentaban las transacciones disputadas.
Riskified proporciona sistemas automatizados de decisión de fraude utilizados para identificar actividad sospechosa con tarjetas antes de que los comerciantes aprueben transacciones. El material público de la compañía describe su servicio como una combinación de puntuación de riesgo mediante aprendizaje automático con controles de transacciones para comerciantes, pero Riskified no ha divulgado públicamente cifras de fraude específicas de Polymarket.
El Journal informó además que Polymarket inicialmente exigía que algunos retiros se devolvieran a la misma fuente de pago que había financiado una cuenta. Según el informe, la plataforma luego relajó esa restricción, citando a empleados que plantearon preocupaciones sobre riesgos de delitos financieros.
El reglamento actual de Polymarket en EE. UU. otorga al exchange la autoridad para restringir cuentas, colocar a los clientes en estado de solo liquidación y tomar otras medidas para proteger a los clientes y la integridad del mercado. La presentación de la CFTC que contiene la versión del 20 de marzo fue certificada en abril.
Polymarket US opera bajo QCX, regulado por la CFTC
Polymarket US es legalmente independiente del mercado de predicción internacional basado en blockchain de la compañía.
El registro actual de la Comisión de Negociación de Futuros de Productos Básicos enumera a QCX LLC, que opera como Polymarket US, como mercado de contratos designado. QCX recibió su designación en julio de 2025 antes de operar bajo el nombre Polymarket US.
Como se explicó anteriormente en la estructura de dos plataformas de Polymarket, los clientes estadounidenses operan a través del exchange regulado federalmente, mientras que el producto internacional utiliza infraestructura blockchain separada y reglas de acceso distintas.
El estatus regulatorio difiere de la posición de Polymarket en 2022, cuando la CFTC ordenó a la compañía pagar una multa civil de 1,4 millones de dólares por ofrecer opciones binarias basadas en eventos sin operar a través de un mercado registrado. El acuerdo exigió a Polymarket liquidar los mercados no conformes y cesar las violaciones citadas en la orden.
The Journal informó que la CFTC está investigando ahora asuntos relacionados con Polymarket y que se instruyó a los empleados a preservar documentos relacionados con el incidente de fraude de febrero y otros asuntos.
No se localizó ningún nuevo comunicado público de aplicación de la CFTC que abordara específicamente el episodio de tarjetas robadas de febrero hasta el 20 de septiembre. Por lo tanto, la investigación reportada debe tratarse como una pesquisa en curso descrita por The Journal, no como una conclusión de que Polymarket violó la ley federal.
Ya estaba en marcha un escrutinio congressional separado. El 22 de mayo, el Comité de Supervisión y Reforma Gubernamental de la Cámara de Representantes solicitó registros a Polymarket sobre verificación de identidad, actividad sospechosa, restricciones geográficas y referencias a las autoridades estadounidenses.
El comité solicitó específicamente documentos que mostraran el número y la disposición de las referencias por actividad sospechosa desde el 1 de enero de 2024. Esa investigación se centró en el uso de información privilegiada y información sensible, no en el esquema de tarjetas robadas reportado este fin de semana.
Polymarket ha ampliado los equipos de investigaciones y finanzas
Desde el incidente de febrero, Polymarket ha desarrollado sus funciones internas de investigación y gestión. Shana Bautista, ex investigadora del FBI, se incorporó como directora global de investigaciones e inteligencia. Reuters informó en agosto que la compañía utiliza análisis de blockchain, aprendizaje automático y vigilancia de operaciones para identificar comportamientos anómalos.
La propia página de integridad de mercado de Polymarket dice que la compañía ha referido más de 90 cuentas a las autoridades y ha proporcionado a las autoridades detalles relacionados con más de 315 carteras. Las cifras son reportadas por la compañía y no se relacionan exclusivamente con fraude de tarjetas de pago.
Las autoridades federales han reconocido públicamente la cooperación en al menos un caso separado. En abril, la Oficina del Fiscal de los Estados Unidos para el Distrito Sur de Nueva York dijo que Polymarket cooperó con los investigadores en el caso de un miembro del Ejército acusado de usar información clasificada para operar con contratos de eventos.
La CFTC presentó una querella paralela por uso de información privilegiada alegando que el acusado ganó más de 404.000 dólares operando en un mercado relacionado con la captura de Nicolás Maduro. El caso sigue siendo independiente de las acusaciones de tarjetas de pago de febrero.
Polymarket añadió otro alto ejecutivo el 10 de septiembre cuando nombró a Warren Jenson su primer director financiero. El nombramiento del director financiero, Jenson ocupó anteriormente cargos financieros de alto nivel en Amazon, Electronic Arts, Delta Air Lines y Nielsen.
La compañía dijo que Jenson supervisará finanzas, estrategia de capital y planificación a largo plazo. Polymarket no anunció un calendario de salida a bolsa cuando lo nombró, aunque The Journal informó que la compañía se está preparando para una posible cotización pública.
Polymarket ha estado recaudando grandes cantidades de capital privado en paralelo. ICE, la matriz de la Bolsa de Nueva York, reveló una inversión adicional en efectivo de 600 millones de dólares en marzo después de invertir 1000 millones de dólares en 2025.
Como informó recientemente la cobertura de financiación de Polymarket, la compañía ha estado buscando por separado aproximadamente 1000 millones de dólares en nuevo capital con una valoración cercana a los 21 000 millones de dólares. La financiación no ha sido presentada por Polymarket como una solicitud formal de OPI.
Incidentes de seguridad separados añadieron presión durante 2026
El fraude de pagos no ha sido el único problema de seguridad de la compañía este año. En junio, Polymarket confirmó que un proveedor externo comprometido inyectó código malicioso en su interfaz para algunos usuarios. La compañía dijo que eliminó la dependencia afectada, contuvo el incidente y reembolsaría a los clientes afectados.
Los investigadores de blockchain estimaron posteriormente las pérdidas en aproximadamente 3,1 millones de dólares en 11 carteras. AMLBot dijo que los activos robados fueron trasladados de Polygon a Ethereum después de la actividad maliciosa.
El evento de junio fue técnicamente separado de la actividad de tarjetas robadas de febrero. Involucró infraestructura web comprometida e interacciones con carteras, mientras que el esquema anterior supuestamente se basaba en credenciales de tarjetas de débito robadas y financiación de cuentas.
The Journal informó otro episodio de seguridad de cuentas en julio que involucró a casi 500 usuarios. Según su relato, los atacantes utilizaron información personal robada para acceder a cuentas existentes y vincular métodos de pago a través de una debilidad de ingeniería. Polymarket supuestamente acordó cubrir las pérdidas afectadas.
Ningún aviso público de Polymarket revisado para este informe proporciona un total de pérdidas confirmado de forma independiente de ese incidente de julio.
La posición actual de la compañía es que sus controles de fraude se han fortalecido y que colabora con las autoridades en actividades sospechosas. El informe de The Journal dice que la tasa de fraude de pagos de febrero había vuelto a los niveles normales de la industria para mayo después de las restricciones de tarjetas de débito y el despliegue de Riskified.
