Polymarket a fait l'objet d'un nouvel examen après qu'un rapport du 19 septembre a indiqué que des fraudeurs avaient utilisé des cartes de débit volées sur sa plateforme américaine en février pour tenter au moins 10 millions de dollars de retraits et de paris illicites.
Résumé
- Polymarket aurait été confronté à au moins 10 millions de dollars de tentatives de fraude par carte volée en février de cette année.
- Checkout.com aurait rejeté plus de 80 % des dépôts américains de Polymarket comme frauduleux au pic de février.
- Polymarket affirme que les taux de fraude sont ensuite revenus aux normes du secteur après l'introduction de contrôles de cartes plus stricts.
- Polymarket US opère via QCX, un marché à terme désigné par la CFTC et soumis aujourd'hui à la surveillance fédérale des produits dérivés.
- Polymarket a récemment embauché Warren Jenson comme directeur financier tout en étoffant ses effectifs en matière de conformité, d'enquêtes et de gestion des risques.
Le Wall Street Journal a rapporté que des criminels avaient associé des cartes volées à des milliers de comptes Polymarket US, les avaient approvisionnés, puis avaient tenté de déplacer l'argent via des transactions avant de le retirer vers des cartes ou des comptes qu'ils contrôlaient.
Polymarket aurait vu ses taux de rejet de fraude dépasser 80 %
Au pic de l'attaque de février, le processeur de paiement Checkout.com a rejeté plus de 80 % des dépôts qu'il traitait pour Polymarket comme frauduleux, selon le Journal. Le journal a comparé ce taux à un niveau sectoriel d'environ 1 %.
Le chiffre de 80 % n'a pas été confirmé de manière indépendante par Checkout.com dans une déclaration publique examinée pour ce rapport. Checkout.com fournit bien aux marchands des outils de notation de fraude, de filtrage des transactions et d'authentification, tandis que ses conditions de service actuelles stipulent que les marchands restent responsables de décider si les transactions sont acceptées ou annulées.
Des employés actuels et anciens ont déclaré au Journal que des agents de conformité avaient fait part de leurs inquiétudes concernant cette flambée au PDG de Polymarket, Shayne Coplan. Selon des personnes citées par le journal, Coplan aurait répondu : « Continuez simplement à croître et payez une amende si les régulateurs le découvrent un jour. »
Polymarket n'a pas confirmé publiquement que Coplan avait fait cette remarque. L'entreprise a déclaré au Journal qu'elle maintient des procédures pour identifier et répondre aux activités suspectes et reste engagée à coopérer avec les régulateurs et les forces de l'ordre.
Le chiffre de 10 millions de dollars représente le montant que les fraudeurs auraient tenté de déplacer, et non une perte confirmée subie par les clients ou Polymarket. Les reportages publics examinés pour cet article ne fournissent pas de montant final effectivement retiré via le stratagème de février.
Les restrictions sur les cartes ont contribué à faire baisser les taux de fraude d'ici mai
Le Journal a rapporté que la fraude élevée s'est poursuivie pendant plusieurs mois après février, bien que les taux de rejet ne soient pas revenus au pic enregistré lors de la première vague. En mai, les taux de fraude seraient revenus vers les niveaux normaux du secteur après que Polymarket a limité le nombre de cartes de débit que les utilisateurs pouvaient connecter à leurs comptes et a fait appel à Riskified comme fournisseur externe d'antifraude.
Un rapport antérieur de The Information avait décrit séparément des opérateurs de marchés de prédiction, dont Polymarket, renforçant les contrôles de fraude par carte après que des criminels eurent utilisé des identifiants de paiement volés et de fausses identités pour créer des comptes. Visa aurait poussé les processeurs de paiement à resserrer le filtrage à mesure que les transactions contestées augmentaient.
Riskified fournit des systèmes automatisés de décision en matière de fraude utilisés pour identifier les activités de carte suspectes avant que les marchands n'approuvent les transactions. Les documents publics de l'entreprise décrivent son service comme combinant une notation des risques par apprentissage automatique avec des contrôles de transactions marchands, mais Riskified n'a pas divulgué publiquement de chiffres de fraude spécifiques à Polymarket.
Le Journal a en outre rapporté que Polymarket exigeait initialement que certains retraits soient renvoyés vers la même source de paiement qui avait approvisionné un compte. La plateforme a ensuite assoupli cette restriction, selon le rapport, qui citait des employés ayant soulevé des inquiétudes concernant les risques de criminalité financière.
Le règlement américain actuel de Polymarket donne à la plateforme le pouvoir de restreindre des comptes, de placer des clients en statut de liquidation uniquement et de prendre d'autres mesures pour protéger les clients et l'intégrité du marché. Le dépôt de la CFTC contenant la version du 20 mars a été certifié en avril.
Polymarket US opère sous QCX, réglementé par la CFTC
Polymarket US est juridiquement distinct du marché de prédiction international de l'entreprise basé sur la blockchain.
Le registre actuel de la Commodity Futures Trading Commission liste QCX LLC, exerçant sous le nom de Polymarket US, comme marché de contrats désigné. QCX a reçu sa désignation en juillet 2025 avant d'opérer sous le nom de Polymarket US.
Comme expliqué précédemment dans la structure à deux plateformes de Polymarket, les clients américains négocient via la plateforme réglementée au niveau fédéral, tandis que le produit international utilise une infrastructure blockchain distincte et des règles d'accès séparées.
Le statut réglementaire diffère de la position de Polymarket en 2022, lorsque la CFTC avait ordonné à l'entreprise de payer une amende civile de 1,4 million de dollars pour avoir proposé des options binaires basées sur des événements sans opérer via un marché enregistré. L'accord transactionnel exigeait que Polymarket ferme les marchés non conformes et cesse les violations citées dans l'ordonnance.
Le Journal a rapporté que la CFTC enquête actuellement sur des questions liées à Polymarket et que des employés ont reçu l'instruction de conserver des documents concernant l'incident de fraude de février et d'autres affaires.
Aucun nouveau communiqué d'application de la CFTC adressé spécifiquement à l'épisode de cartes volées de février n'a été trouvé en date du 20 septembre. L'enquête rapportée doit donc être traitée comme une enquête en cours décrite par le Journal, et non comme une conclusion que Polymarket a violé la loi fédérale.
Un examen distinct du Congrès était déjà en cours. Le 22 mai, la Commission de la Chambre sur la surveillance et la réforme gouvernementale a demandé à Polymarket des documents concernant la vérification d'identité, les activités suspectes, les restrictions géographiques et les signalements aux autorités américaines.
La commission a spécifiquement demandé des documents montrant le nombre et le traitement des signalements d'activités suspectes depuis le 1er janvier 2024. Cette enquête portait sur le délit d'initié et les informations sensibles, et non sur le stratagème de cartes volées rapporté ce week-end.
Polymarket a élargi ses équipes d'enquête et de finance
Depuis l'incident de février, Polymarket a développé ses fonctions internes d'enquête et de gestion. Shana Bautista, ancienne enquêtrice du FBI, a rejoint l'entreprise en tant que responsable mondiale des enquêtes et du renseignement. Reuters rapportait en août que l'entreprise utilise l'analyse de la blockchain, l'apprentissage automatique et la surveillance des transactions pour identifier les comportements anormaux.
La page d'intégrité du marché de Polymarket indique que l'entreprise a signalé plus de 90 comptes aux forces de l'ordre et fourni aux autorités des détails concernant plus de 315 portefeuilles. Ces chiffres sont rapportés par l'entreprise et ne concernent pas exclusivement la fraude par carte de paiement.
Les autorités fédérales ont publiquement reconnu une coopération dans au moins une affaire distincte. En avril, le bureau du procureur des États-Unis pour le district sud de New York a déclaré que Polymarket avait coopéré avec les enquêteurs dans l'affaire d'un membre de l'armée accusé d'avoir utilisé des informations classifiées pour négocier des contrats événementiels.
La CFTC a déposé une plainte parallèle pour délit d'initié alléguant que le défendeur avait gagné plus de 404 000 $ en négociant un marché lié à la capture de Nicolás Maduro. L'affaire reste distincte des allégations de carte de paiement de février.
Polymarket a ajouté un autre cadre supérieur le 10 septembre en nommant Warren Jenson comme premier directeur financier. La nomination du directeur financier, Jenson a précédemment occupé des postes de direction financière chez Amazon, Electronic Arts, Delta Air Lines et Nielsen.
L'entreprise a déclaré que Jenson supervisera les finances, la stratégie de capital et la planification à long terme. Polymarket n'a pas annoncé de calendrier d'introduction en bourse lors de sa nomination, bien que le Journal ait rapporté que l'entreprise se prépare à une éventuelle cotation publique.
Polymarket a parallèlement levé d'importants capitaux privés. ICE, la société mère du New York Stock Exchange, a divulgué un investissement en numéraire supplémentaire de 600 millions de dollars en mars, après avoir investi 1 milliard de dollars en 2025.
Comme l'a rapporté la couverture récente du financement de Polymarket, l'entreprise a parallèlement cherché à lever environ 1 milliard de dollars de nouveaux capitaux sur une valorisation proche de 21 milliards de dollars. Ce financement n'a pas été présenté par Polymarket comme un dépôt de dossier d'introduction en bourse formel.
Des incidents de sécurité distincts ont ajouté de la pression au cours de 2026
La fraude aux paiements n'a pas été le seul problème de sécurité de l'entreprise cette année. En juin, Polymarket a confirmé qu'un fournisseur tiers compromis avait injecté du code malveillant dans son interface frontend pour certains utilisateurs. L'entreprise a déclaré avoir supprimé la dépendance affectée, contenu l'incident et qu'elle rembourserait les clients touchés.
Les enquêteurs de la blockchain ont ensuite estimé les pertes à environ 3,1 millions de dollars réparties sur 11 portefeuilles. AMLBot a indiqué que les actifs volés ont été déplacés de Polygon vers Ethereum après l'activité malveillante.
L'événement de juin était techniquement distinct de l'activité de cartes volées de février. Il impliquait une infrastructure web compromise et des interactions avec des portefeuilles, tandis que le stratagème antérieur reposait, selon les informations, sur des identifiants de cartes de débit volés et l'approvisionnement de comptes.
Le Journal a rapporté un autre épisode de sécurité de compte en juillet impliquant près de 500 utilisateurs. Selon son récit, les attaquants ont utilisé des informations personnelles volées pour accéder à des comptes existants et à des moyens de paiement liés, par le biais d'une faiblesse d'ingénierie. Polymarket aurait accepté de couvrir les pertes subies.
Aucun avis public de Polymarket examiné pour ce rapport ne fournit un total de pertes confirmé de manière indépendante pour cet incident de juillet.
La position actuelle de l'entreprise est que ses contrôles antifraude ont été renforcés et qu'elle collabore avec les forces de l'ordre sur les activités suspectes. Le rapport du Journal indique que le taux de fraude aux paiements de février était revenu aux normes du secteur en mai, après les restrictions sur les cartes de débit et le déploiement de Riskified.
