Polymarket ha vuelto a ser objeto de escrutinio después de que un informe del 19 de septiembre dijera que estafadores utilizaron tarjetas de débito robadas en su plataforma estadounidense en febrero para intentar retirar y apostar ilegalmente al menos 10 millones de dólares.
The Wall Street Journal informó que delincuentes conectaron tarjetas robadas a miles de cuentas de Polymarket US, las financiaron y luego intentaron mover el dinero a través de operaciones antes de retirarlo a tarjetas o cuentas que controlaban.
En el pico del ataque de febrero, el procesador de pagos Checkout.com rechazó más del 80% de los depósitos que gestionó para Polymarket por fraudulentos, según el Journal. El periódico comparó esa tasa con un nivel de la industria de aproximadamente el 1%.
La cifra del 80% no ha sido confirmada de forma independiente por Checkout.com en una declaración pública revisada para este informe. Checkout.com proporciona a los comerciantes herramientas de puntuación de fraude, filtrado de transacciones y autenticación, mientras que sus términos de servicio actuales establecen que los comerciantes siguen siendo responsables de decidir si las transacciones se aceptan o se cancelan.
Empleados actuales y anteriores dijeron al Journal que los trabajadores de cumplimiento escalaron sus preocupaciones sobre el aumento al CEO de Polymarket, Shayne Coplan. Según personas citadas por el periódico, Coplan respondió: “Solo sigan creciendo y paguen una multa si los reguladores se enteran alguna vez”.
Polymarket no ha confirmado públicamente que Coplan hiciera ese comentario. La empresa dijo al Journal que mantiene procedimientos para identificar y responder a actividades sospechosas y que sigue comprometida a cooperar con los reguladores y las fuerzas del orden.
La cifra de 10 millones de dólares representa la cantidad que los estafadores supuestamente intentaron mover, no una pérdida confirmada sufrida por los clientes o Polymarket. Los informes públicos revisados para este artículo no proporcionan una cantidad final retirada con éxito a través del esquema de febrero.
El Journal informó que el fraude elevado continuó durante varios meses después de febrero, aunque las tasas de rechazo no volvieron al pico registrado durante la primera ola. Para mayo, las tasas de fraude supuestamente habían vuelto a los niveles normales de la industria después de que Polymarket limitara cuántas tarjetas de débito podían conectar los usuarios a sus cuentas e incorporara a Riskified como proveedor externo antifraude.
Un informe anterior de The Information había descrito por separado cómo los operadores de mercados de predicción, incluido Polymarket, fortalecieron los controles contra el fraude con tarjetas después de que los delincuentes utilizaran credenciales de pago robadas e identidades falsas para crear cuentas. Visa supuestamente presionó a los procesadores de pagos para que endurecieran el escrutinio a medida que aumentaban las transacciones disputadas.
Riskified proporciona sistemas automatizados de decisión de fraude utilizados para identificar actividad sospechosa de tarjetas antes de que los comerciantes aprueben las transacciones. El material público de la compañía describe su servicio como una combinación de puntuación de riesgo por aprendizaje automático con controles de transacciones de comerciantes, pero Riskified no ha revelado públicamente cifras de fraude específicas de Polymarket.
El Journal informó además que Polymarket inicialmente requería que algunos retiros volvieran a la misma fuente de pago que había financiado una cuenta. La plataforma luego flexibilizó esa restricción, según el informe, que citó a empleados que expresaron preocupaciones sobre los riesgos de delitos financieros.
El reglamento actual de Polymarket en EE. UU. otorga a la bolsa autoridad para restringir cuentas, colocar a los clientes en estado de solo liquidación y tomar otras medidas para proteger a los clientes y la integridad del mercado. La presentación ante la CFTC que contiene la versión del 20 de marzo fue certificada en abril.
Polymarket US es legalmente independiente del mercado de predicción internacional basado en blockchain de la empresa.
El registro actual de la Commodity Futures Trading Commission (CFTC) enumera a QCX LLC, que opera como Polymarket US, como un mercado de contratos designado. QCX recibió su designación en julio de 2025 antes de operar bajo el nombre de Polymarket US.
Como se explicó anteriormente en la estructura de dos plataformas de Polymarket, los clientes estadounidenses operan a través de la bolsa regulada federalmente, mientras que el producto internacional utiliza una infraestructura de blockchain y reglas de acceso separadas.
El estado regulatorio difiere de la posición de Polymarket en 2022, cuando la CFTC ordenó a la compañía pagar una multa civil de 1.4 millones de dólares por ofrecer opciones binarias basadas en eventos sin operar a través de un mercado registrado. El acuerdo requería que Polymarket liquidara los mercados no conformes y cesara las violaciones citadas en la orden.
El Journal informó que la CFTC está investigando ahora asuntos relacionados con Polymarket y que se instruyó a los empleados para que conservaran documentos relacionados con el incidente de fraude de febrero y otros asuntos.
No se encontró ninguna nueva publicación pública de la CFTC sobre la aplicación de la ley que abordara específicamente el episodio de tarjetas robadas de febrero a fecha del 20 de septiembre. Por lo tanto, la investigación reportada debe tratarse como una investigación en curso descrita por el Journal, no como un hallazgo de que Polymarket violó la ley federal.
Ya estaba en marcha un escrutinio congresional separado. El 22 de mayo, el Comité de Supervisión y Reforma del Gobierno de la Cámara de Representantes solicitó a Polymarket registros sobre verificación de identidad, actividad sospechosa, restricciones geográficas y remisiones a las autoridades estadounidenses.
El comité solicitó específicamente documentos que mostraran el número y la disposición de las remisiones de actividad sospechosa desde el 1 de enero de 2024. Esa investigación se centró en el uso de información privilegiada y la información sensible, no en el esquema de tarjetas robadas reportado este fin de semana.
Desde el incidente de febrero, Polymarket ha desarrollado sus funciones internas de investigación y gestión. Shana Bautista, exinvestigadora del FBI, se unió como jefa global de investigaciones e inteligencia. Reuters informó en agosto que la compañía utiliza análisis de blockchain, aprendizaje automático y vigilancia de operaciones para identificar comportamientos anómalos.
La propia página de integridad del mercado de Polymarket dice que la compañía ha remitido más de 90 cuentas a las fuerzas del orden y ha proporcionado a las autoridades detalles que involucran a más de 315 billeteras. Las cifras son reportadas por la compañía y no se relacionan exclusivamente con el fraude con tarjetas de pago.
Las autoridades federales han reconocido públicamente la cooperación en al menos un caso separado. En abril, la Oficina del Fiscal de los Estados Unidos para el Distrito Sur de Nueva York dijo que Polymarket cooperó con los investigadores en el caso de un miembro del servicio del Ejército acusado de usar información clasificada para negociar contratos de eventos.
La CFTC presentó una demanda paralela por uso de información privilegiada alegando que el acusado ganó más de 404.000 dólares operando en un mercado relacionado con la captura de Nicolás Maduro. El caso permanece separado de las acusaciones de fraude con tarjetas de pago de febrero.
Polymarket sumó otro ejecutivo sénior el 10 de septiembre, cuando nombró a Warren Jenson su primer director financiero. Antes de este nombramiento, Jenson ocupó altos cargos financieros en Amazon, Electronic Arts, Delta Air Lines y Nielsen.
La compañía dijo que Jenson supervisará las finanzas, la estrategia de capital y la planificación a largo plazo. Polymarket no anunció un calendario de OPI cuando lo nombró, aunque el Journal informó que la compañía se está preparando para una posible cotización en bolsa.
Polymarket ha estado recaudando grandes cantidades de capital privado en paralelo. ICE, la empresa matriz de la Bolsa de Nueva York, reveló una inversión adicional en efectivo de 600 millones de dólares en marzo, después de invertir 1.000 millones de dólares en 2025.
Según informó la reciente cobertura de financiación de Polymarket, la compañía ha estado buscando por separado aproximadamente mil millones de dólares en nuevo capital con una valoración cercana a los 21 mil millones de dólares. Polymarket no ha presentado esta financiación como una solicitud formal de OPI.
El fraude de pagos no ha sido el único problema de seguridad de la empresa este año. En junio, Polymarket confirmó que un proveedor externo comprometido inyectó código malicioso en su interfaz para algunos usuarios. La compañía dijo que eliminó la dependencia afectada, contuvo el incidente y reembolsaría a los clientes afectados.
Investigadores de blockchain estimaron posteriormente las pérdidas en aproximadamente 3,1 millones de dólares en 11 billeteras. AMLBot dijo que los activos robados se movieron de Polygon a Ethereum después de la actividad maliciosa.
El evento de junio fue técnicamente separado de la actividad de tarjetas robadas de febrero. Involucró infraestructura web comprometida e interacciones de billetera, mientras que el esquema anterior supuestamente se basó en credenciales de tarjetas de débito robadas y financiación de cuentas.
El Journal informó de otro episodio de seguridad de cuentas en julio que involucró a casi 500 usuarios. Según su relato, los atacantes utilizaron información personal robada para acceder a cuentas existentes y métodos de pago vinculados a través de una debilidad de ingeniería. Polymarket supuestamente acordó cubrir las pérdidas afectadas.
Ningún aviso público de Polymarket revisado para este informe proporciona un total de pérdidas confirmado independientemente de ese incidente de julio.
La posición actual de la empresa es que sus controles contra el fraude se han fortalecido y que trabaja con las fuerzas del orden en actividades sospechosas. El informe del Journal dice que la tasa de fraude de pagos de febrero había vuelto a las normas de la industria para mayo después de las restricciones de tarjetas de débito y el despliegue de Riskified.
ETH