Polymarket znalazł się ponownie pod lupą po raporcie z 19 września, który stwierdzał, że oszuści użyli skradzionych kart debetowych na jego amerykańskiej platformie w lutym, próbując dokonać co najmniej 10 milionów dolarów nielegalnych wypłat i zakładów.
Podsumowanie
- Polymarket rzekomo zmierzył się z co najmniej 10 milionami dolarów prób oszustwa ze skradzionymi kartami w lutym tego roku.
- Checkout.com rzekomo odrzucił ponad 80% depozytów Polymarket US jako oszukańcze w lutowym szczycie.
- Polymarket twierdzi, że wskaźniki oszustw później wróciły do norm branżowych po wprowadzeniu silniejszych kontroli kart.
- Polymarket US działa poprzez QCX, rynek kontraktów wyznaczony przez CFTC, podlegający dziś federalnemu nadzorowi nad instrumentami pochodnymi.
- Polymarket niedawno zatrudnił Warrena Jensona jako CFO, jednocześnie rozszerzając personel ds. zgodności, dochodzeń i zarządzania ryzykiem.
The Wall Street Journal poinformował, że przestępcy powiązali skradzione karty z tysiącami kont Polymarket US, zasilili je, a następnie próbowali przenieść pieniądze poprzez handel przed wypłatą na karty lub konta, które kontrolowali.
Polymarket rzekomo odnotował wskaźniki odrzucenia oszustw przekraczające 80%
W szczycie lutowego ataku procesor płatności Checkout.com odrzucił ponad 80% depozytów, które obsługiwał dla Polymarket, jako oszukańcze, według Journal. Gazeta porównała ten wskaźnik z poziomem branżowym wynoszącym około 1%.
Liczba 80% nie została niezależnie potwierdzona przez Checkout.com w publicznym oświadczeniu przeanalizowanym na potrzeby tego raportu. Checkout.com dostarcza merchantom narzędzia do oceny oszustw, filtrowania transakcji i uwierzytelniania, podczas gdy jego obecne warunki usług stanowią, że merchantowie pozostają odpowiedzialni za decyzję, czy transakcje są akceptowane czy anulowane.
Obecni i byli pracownicy powiedzieli Journal, że pracownicy ds. zgodności eskalowali obawy dotyczące tego wzrostu do CEO Polymarket, Shayne'a Coplana. Według osób cytowanych przez gazetę, Coplan odpowiedział: „Po prostu kontynuujcie wzrost i zapłaćcie grzywnę, jeśli regulatorzy kiedykolwiek się dowiedzą”.
Polymarket nie potwierdził publicznie, że Coplan wypowiedział tę uwagę. Firma powiedziała Journal, że utrzymuje procedury mające na celu identyfikację i reagowanie na podejrzaną działalność oraz pozostaje zaangażowana we współpracę z regulatorami i organami ścigania.
Kwota 10 milionów dolarów reprezentuje kwotę, którą oszuści rzekomo próbowali przenieść, a nie potwierdzoną stratę poniesioną przez klientów lub Polymarket. Publiczne raporty przeanalizowane na potrzeby tego artykułu nie podają ostatecznej kwoty skutecznie wypłaconej w ramach lutowego schematu.
Ograniczenia kart pomogły obniżyć wskaźniki oszustw do maja
Journal poinformował, że podwyższony poziom oszustw utrzymywał się przez kilka miesięcy po lutym, choć wskaźniki odrzucenia nie wróciły do szczytu odnotowanego podczas pierwszej fali. Do maja wskaźniki oszustw rzekomo wróciły w kierunku normalnych poziomów branżowych po tym, jak Polymarket ograniczył liczbę kart debetowych, które użytkownicy mogli podłączyć do swoich kont, i wprowadził Riskified jako zewnętrznego dostawcę usług przeciwdziałania oszustwom.
Wcześniejszy raport The Information osobno opisywał operatorów rynków predykcyjnych, w tym Polymarket, wzmacniających kontrole oszustw kartowych po tym, jak przestępcy użyli skradzionych danych uwierzytelniających płatności i fałszywych tożsamości do tworzenia kont. Visa rzekomo naciskała na procesorów płatności, aby zaostrzyli weryfikację w miarę wzrostu liczby spornych transakcji.
Riskified dostarcza zautomatyzowane systemy decyzyjne dotyczące oszustw, używane do identyfikacji podejrzanej aktywności kartowej przed zatwierdzeniem transakcji przez merchantów. Publiczne materiały firmy opisują jej usługę jako łączącą ocenę ryzyka opartą na uczeniu maszynowym z kontrolami transakcji merchantów, ale Riskified nie ujawnił publicznie danych dotyczących oszustw specyficznych dla Polymarket.
Journal dodatkowo poinformował, że Polymarket początkowo wymagał, aby niektóre wypłaty wracały do tego samego źródła płatności, które zasiliło konto. Platforma później złagodziła to ograniczenie, według raportu, który cytował pracowników zgłaszających obawy dotyczące ryzyka przestępczości finansowej.
Obecny amerykański regulamin Polymarket przyznaje giełdzie prawo do ograniczania kont, wprowadzania klientów w tryb wyłącznie likwidacyjny oraz podejmowania innych kroków w celu ochrony klientów i integralności rynku. Wniosek CFTC filing zawierający wersję z 20 marca został certyfikowany w kwietniu.
Polymarket US działa w ramach regulowanego przez CFTC QCX
Polymarket US jest prawnie oddzielony od międzynarodowego, opartego na blockchainie rynku predykcyjnego tej spółki.
Obecny rejestr Commodity Futures Trading Commission wymienia QCX LLC, działającą pod nazwą Polymarket US, jako wyznaczony rynek kontraktów. QCX otrzymała swoje wyznaczenie w lipcu 2025 r., zanim zaczęła działać pod nazwą Polymarket US.
Jak wcześniej wyjaśniono w strukturze dwóch platform Polymarket, amerykańscy klienci handlują za pośrednictwem federalnie regulowanej giełdy, podczas gdy produkt międzynarodowy wykorzystuje oddzielną infrastrukturę blockchain i zasady dostępu.
Status regulacyjny różni się od pozycji Polymarket w 2022 r., kiedy to CFTC nakazała spółce zapłatę 1,4 miliona dolarów kary cywilnej za oferowanie opcji binarnych opartych na zdarzeniach bez działania za pośrednictwem zarejestrowanego rynku. Ugoda wymagała od Polymarket zamknięcia niezgodnych rynków i zaprzestania naruszeń wskazanych w nakazie.
The Journal poinformował, że CFTC prowadzi obecnie dochodzenie w sprawach związanych z Polymarket i że pracownikom nakazano zachowanie dokumentów dotyczących lutowego incydentu oszustwa i innych spraw.
Na dzień 20 września nie odnaleziono nowego publicznego komunikatu CFTC dotyczącego egzekwowania prawa, który odnosiłby się konkretnie do lutowego epizodu ze skradzionymi kartami. Zgłoszone dochodzenie należy zatem traktować jako trwające postępowanie opisane przez The Journal, a nie jako ustalenie, że Polymarket naruszył prawo federalne.
Oddzielna kontrola kongresowa była już w toku. 22 maja Komisja Nadzoru i Reform Rządu Izby Reprezentantów zażądała od Polymarket dokumentów dotyczących weryfikacji tożsamości, podejrzanej aktywności, ograniczeń geograficznych i skierowań do władz USA.
Komisja zażądała konkretnie dokumentów pokazujących liczbę i sposób rozpatrzenia skierowań dotyczących podejrzanej aktywności od 1 stycznia 2024 r. Dochodzenie to koncentrowało się na handlu informacjami poufnymi i wrażliwymi informacjami, a nie na schemacie skradzionych kart zgłoszonym w ten weekend.
Polymarket rozszerzył zespoły ds. dochodzeń i finansów
Od lutowego incydentu Polymarket rozbudował swoje wewnętrzne funkcje dochodzeniowe i zarządcze. Shana Bautista, była śledcza FBI, dołączyła jako globalna szefowa ds. dochodzeń i wywiadu. Reuters poinformował w sierpniu, że spółka wykorzystuje analitykę blockchain, uczenie maszynowe i nadzór handlowy do identyfikowania anomalnych zachowań.
Własna strona Polymarket dotycząca integralności rynku page mówi, że spółka skierowała ponad 90 kont do organów ścigania i przekazała władzom szczegóły dotyczące ponad 315 portfeli. Liczby te są raportowane przez spółkę i nie dotyczą wyłącznie oszustw związanych z kartami płatniczymi.
Władze federalne publicznie potwierdziły współpracę w co najmniej jednej odrębnej sprawie. W kwietniu Biuro Prokuratora USA dla Południowego Dystryktu Nowego Jorku said Polymarket współpracował ze śledczymi w sprawie żołnierza armii oskarżonego o wykorzystanie informacji niejawnych do handlu kontraktami na zdarzenia.
CFTC złożyła równoległą skargę dotyczącą handlu informacjami poufnymi, zarzucając pozwanemu zarobienie ponad 404 000 dolarów na handlu rynkiem związanym z pojmaniem Nicolása Maduro. Sprawa pozostaje odrębna od lutowych zarzutów dotyczących kart płatniczych.
Polymarket dodał kolejnego starszego menedżera 10 września, mianując Warrena Jensona swoim pierwszym dyrektorem finansowym. The CFO appointment, Jenson wcześniej pełnił starsze funkcje finansowe w Amazon, Electronic Arts, Delta Air Lines i Nielsen.
Spółka podała, że Jenson będzie nadzorował finanse, strategię kapitałową i planowanie długoterminowe. Polymarket nie ogłosił harmonogramu IPO, gdy go mianował, chociaż The Journal poinformował, że spółka przygotowuje się do potencjalnego debiutu giełdowego.
Polymarket równolegle pozyskiwał duże ilości prywatnego kapitału. ICE, spółka-matka nowojorskiej giełdy, ujawniła w marcu kolejną inwestycję gotówkową w wysokości 600 mln dolarów po zainwestowaniu 1 mld dolarów w 2025 roku.
Jak donoszono w ostatnich materiałach o finansowaniu Polymarket, spółka osobno poszukiwała około 1 mld dolarów nowego kapitału przy wycenie blisko 21 mld dolarów. Finansowanie nie zostało przedstawione przez Polymarket jako formalny wniosek o IPO.
Odrębne incydenty bezpieczeństwa zwiększyły presję w 2026 roku
Oszustwa płatnicze nie były jedynym problemem bezpieczeństwa spółki w tym roku. W czerwcu Polymarket potwierdził, że przejęty zewnętrzny dostawca wstrzyknął złośliwy kod do jego frontendu u niektórych użytkowników. Spółka podała, że usunęła zainfekowaną zależność, opanowała incydent i zamierza zwrócić środki poszkodowanym klientom.
Śledczy blockchain oszacowali później straty na około 3,1 mln dolarów w 11 portfelach. AMLBot podał, że skradzione aktywa zostały przeniesione z Polygon do Ethereum po złośliwej aktywności.
Czerwcowe zdarzenie było technicznie odrębne od lutowej aktywności związanej ze skradzionymi kartami. Dotyczyło ono przejętej infrastruktury internetowej i interakcji z portfelami, podczas gdy wcześniejszy schemat opierał się, jak podano, na skradzionych danych uwierzytelniających kart debetowych i zasilaniu kont.
The Journal poinformował o kolejnym epizodzie związanym z bezpieczeństwem kont w lipcu, dotyczącym blisko 500 użytkowników. Według jego relacji napastnicy wykorzystali skradzione dane osobowe, aby uzyskać dostęp do istniejących kont i powiązanych metod płatności poprzez lukę inżynieryjną. Polymarket miał zgodzić się na pokrycie poniesionych strat.
Żadne publiczne zawiadomienie Polymarket przeanalizowane na potrzeby tego raportu nie podaje niezależnie potwierdzonej łącznej kwoty strat z lipcowego incydentu.
Obecne stanowisko spółki jest takie, że jej mechanizmy kontroli oszustw zostały wzmocnione i że współpracuje ona z organami ścigania w sprawie podejrzanej aktywności. Z raportu The Journal wynika, że do maja lutowy wskaźnik oszustw płatniczych powrócił do norm branżowych po ograniczeniach dotyczących kart debetowych i wdrożeniu Riskified.
