A Polymarket voltou a ser alvo de escrutínio depois que um relatório de 19 de setembro afirmou que fraudadores usaram cartões de débito roubados em sua plataforma nos EUA em fevereiro para tentar pelo menos US$ 10 milhões em saques e apostas ilícitas.
Resumo
- A Polymarket supostamente enfrentou pelo menos US$ 10 milhões em tentativas de fraude com cartões roubados durante fevereiro deste ano.
- A Checkout.com supostamente rejeitou mais de 80% dos depósitos da Polymarket US como fraudulentos durante o pico de fevereiro.
- A Polymarket afirma que as taxas de fraude depois voltaram aos padrões do setor após a introdução de controles de cartão mais rigorosos.
- A Polymarket US opera por meio da QCX, um mercado de contratos designado pela CFTC e sujeito à supervisão federal de derivativos atualmente.
- A Polymarket recentemente contratou Warren Jenson como CFO enquanto expande o quadro de pessoal de compliance, investigações e gestão de riscos.
O Wall Street Journal noticiou que criminosos vincularam cartões roubados a milhares de contas da Polymarket US, as financiaram e então tentaram mover o dinheiro por meio de negociações antes de sacá-lo para cartões ou contas que controlavam.
A Polymarket supostamente viu taxas de rejeição por fraude ultrapassarem 80%
No auge do ataque de fevereiro, o processador de pagamentos Checkout.com rejeitou mais de 80% dos depósitos que processou para a Polymarket como fraudulentos, segundo o Journal. O jornal comparou essa taxa com um nível do setor de cerca de 1%.
O número de 80% não foi confirmado de forma independente pela Checkout.com em uma declaração pública revisada para este relatório. A Checkout.com fornece aos comerciantes ferramentas de pontuação de fraude, filtragem de transações e autenticação, enquanto seus termos de serviço atuais afirmam que os comerciantes continuam responsáveis por decidir se as transações são aceitas ou canceladas.
Funcionários atuais e antigos disseram ao Journal que trabalhadores de compliance escalaram preocupações sobre o aumento ao CEO da Polymarket, Shayne Coplan. Segundo pessoas citadas pelo jornal, Coplan respondeu: “Apenas continuem crescendo e paguem uma multa se os reguladores algum dia descobrirem.”
A Polymarket não confirmou publicamente que Coplan fez essa declaração. A empresa disse ao Journal que mantém procedimentos para identificar e responder a atividades suspeitas e permanece comprometida em cooperar com reguladores e autoridades policiais.
O valor de US$ 10 milhões representa a quantia que os fraudadores supostamente tentaram mover, não uma perda confirmada sofrida por clientes ou pela Polymarket. A reportagem pública revisada para este artigo não fornece um valor final sacado com sucesso por meio do esquema de fevereiro.
Restrições de cartão ajudaram a reduzir as taxas de fraude até maio
O Journal noticiou que a fraude elevada continuou por vários meses após fevereiro, embora as taxas de rejeição não tenham voltado ao pico registrado durante a primeira onda. Em maio, as taxas de fraude supostamente retornaram aos níveis normais do setor depois que a Polymarket limitou quantos cartões de débito os usuários podiam conectar às suas contas e trouxe a Riskified como fornecedora externa antifraude.
Um relatório anterior do The Information havia descrito separadamente operadores de mercados de previsão, incluindo a Polymarket, fortalecendo controles de fraude com cartão depois que criminosos usaram credenciais de pagamento roubadas e identidades falsas para criar contas. A Visa supostamente pressionou processadores de pagamento a apertar a triagem à medida que as transações contestadas aumentavam.
A Riskified fornece sistemas automatizados de decisão de fraude usados para identificar atividades suspeitas com cartão antes que os comerciantes aprovem transações. Material público da empresa descreve seu serviço como combinando pontuação de risco por aprendizado de máquina com controles de transação do comerciante, mas a Riskified não divulgou publicamente números de fraude específicos da Polymarket.
O Journal também noticiou que a Polymarket inicialmente exigia que alguns saques retornassem à mesma fonte de pagamento que havia financiado uma conta. A plataforma depois afrouxou essa restrição, segundo o relatório, que citou funcionários que levantaram preocupações sobre riscos de crimes financeiros.
O atual regulamento americano da Polymarket concede à exchange autoridade para restringir contas, colocar clientes em status de somente liquidação e adotar outras medidas para proteger clientes e a integridade do mercado. O registro da CFTC contendo a versão de 20 de março foi certificado em abril.
A Polymarket US opera sob a QCX regulada pela CFTC
A Polymarket US é legalmente separada do mercado de previsões internacional baseado em blockchain da empresa.
O atual registro da Commodity Futures Trading Commission lista a QCX LLC, que opera como Polymarket US, como um mercado de contratos designado. A QCX recebeu sua designação em julho de 2025 antes de operar sob o nome Polymarket US.
Como explicado anteriormente na estrutura de duas plataformas da Polymarket, clientes americanos negociam por meio da exchange regulada federalmente, enquanto o produto internacional usa infraestrutura blockchain separada e regras de acesso próprias.
O status regulatório difere da posição da Polymarket em 2022, quando a CFTC ordenou que a empresa pagasse uma multa civil de US$ 1,4 milhão por oferecer opções binárias baseadas em eventos sem operar por meio de um mercado registrado. O acordo exigiu que a Polymarket encerrasse mercados não conformes e cessasse as violações citadas na ordem.
O Journal relatou que a CFTC está agora investigando questões relacionadas à Polymarket e que funcionários foram instruídos a preservar documentos envolvendo o incidente de fraude de fevereiro e outros assuntos.
Nenhum novo comunicado público de enforcement da CFTC abordando especificamente o episódio do cartão roubado de fevereiro foi localizado até 20 de setembro. A investigação relatada deve, portanto, ser tratada como uma apuração em andamento descrita pelo Journal, não como uma conclusão de que a Polymarket violou a lei federal.
Um escrutínio congressional separado já estava em andamento. Em 22 de maio, o Comitê de Supervisão e Reforma Governamental da Câmara solicitou registros da Polymarket relativos à verificação de identidade, atividade suspeita, restrições geográficas e encaminhamentos às autoridades americanas.
O comitê solicitou especificamente documentos mostrando o número e a disposição dos encaminhamentos de atividade suspeita desde 1º de janeiro de 2024. Essa investigação concentrou-se em insider trading e informações sensíveis, não no esquema de cartões roubados relatado neste fim de semana.
A Polymarket expandiu as equipes de investigações e finanças
Desde o incidente de fevereiro, a Polymarket ampliou suas funções internas de investigação e gestão. Shana Bautista, ex-investigadora do FBI, ingressou como chefe global de investigações e inteligência. A Reuters relatou em agosto que a empresa usa análise de blockchain, aprendizado de máquina e vigilância de negociações para identificar comportamento anômalo.
A própria página de integridade de mercado da Polymarket afirma que a empresa encaminhou mais de 90 contas às autoridades policiais e forneceu às autoridades detalhes envolvendo mais de 315 carteiras. Os números são relatados pela empresa e não se relacionam exclusivamente a fraude de cartão de pagamento.
As autoridades federais reconheceram publicamente a cooperação em pelo menos um caso separado. Em abril, o Escritório do Procurador dos Estados Unidos para o Distrito Sul de Nova York disse que a Polymarket cooperou com os investigadores no caso de um militar do Exército acusado de usar informações classificadas para negociar contratos de eventos.
A CFTC apresentou uma queixa paralela de insider trading alegando que o réu ganhou mais de US$ 404.000 negociando um mercado relacionado à captura de Nicolás Maduro. O caso permanece separado das alegações de cartão de pagamento de fevereiro.
A Polymarket adicionou outro executivo sênior em 10 de setembro, quando nomeou Warren Jenson como seu primeiro diretor financeiro. A nomeação do CFO, Jenson ocupou anteriormente cargos financeiros seniores na Amazon, Electronic Arts, Delta Air Lines e Nielsen.
A empresa disse que Jenson supervisionará finanças, estratégia de capital e planejamento de longo prazo. A Polymarket não anunciou um cronograma de IPO quando o nomeou, embora o Journal tenha relatado que a empresa está se preparando para uma potencial listagem pública.
A Polymarket vem levantando grandes quantias de capital privado em paralelo. A ICE, controladora da Bolsa de Valores de Nova York, divulgou um investimento adicional de US$ 600 milhões em dinheiro em março, após investir US$ 1 bilhão em 2025.
Como noticiado recentemente na cobertura de financiamento da Polymarket, a empresa vinha buscando separadamente cerca de US$ 1 bilhão em novo capital com uma avaliação próxima de US$ 21 bilhões. O financiamento não foi apresentado pela Polymarket como um pedido formal de IPO.
Incidentes de segurança separados aumentaram a pressão durante 2026
A fraude de pagamento não foi o único problema de segurança da empresa este ano. Em junho, a Polymarket confirmou que um fornecedor terceirizado comprometido injetou código malicioso em seu frontend para alguns usuários. A empresa disse que removeu a dependência afetada, conteve o incidente e reembolsaria os clientes afetados.
Investigadores de blockchain estimaram posteriormente as perdas em cerca de US$ 3,1 milhões em 11 carteiras. A AMLBot disse que os ativos roubados foram movidos da Polygon para a Ethereum após a atividade maliciosa.
O evento de junho foi tecnicamente separado da atividade de cartões roubados de fevereiro. Envolveu infraestrutura web comprometida e interações com carteiras, enquanto o esquema anterior, segundo relatos, dependia de credenciais de cartão de débito roubadas e financiamento de contas.
O Journal relatou outro episódio de segurança de contas em julho envolvendo quase 500 usuários. Segundo seu relato, os atacantes usaram informações pessoais roubadas para acessar contas existentes e métodos de pagamento vinculados por meio de uma falha de engenharia. A Polymarket teria concordado em cobrir as perdas afetadas.
Nenhum aviso público da Polymarket revisado para este relatório fornece um total de perdas confirmado de forma independente a partir daquele incidente de julho.
A posição atual da empresa é que seus controles de fraude foram reforçados e que ela trabalha com as autoridades policiais em atividades suspeitas. O relatório do Journal diz que a taxa de fraude de pagamento de fevereiro havia retornado aos padrões do setor até maio, após as restrições de cartão de débito e a implantação da Riskified.
