Polymarket a fait l'objet d'un examen minutieux renouvelé après qu'un rapport du 19 septembre ait révélé que des fraudeurs avaient utilisé des cartes de débit volées sur sa plateforme américaine en février pour tenter des retraits et des paris illicites d'au moins 10 millions de dollars.
Le Wall Street Journal a rapporté que des criminels avaient connecté des cartes volées à des milliers de comptes Polymarket US, les avaient approvisionnés, puis avaient tenté de transférer l'argent par le biais de transactions avant de le retirer vers des cartes ou des comptes qu'ils contrôlaient.
Au plus fort de l'attaque de février, le processeur de paiement Checkout.com a rejeté plus de 80 % des dépôts qu'il a gérés pour Polymarket comme frauduleux, selon le Journal. Le journal a comparé ce taux à un niveau industriel d'environ 1 %.
Le chiffre de 80 % n'a pas été confirmé indépendamment par Checkout.com dans une déclaration publique examinée pour ce rapport. Checkout.com fournit aux commerçants des outils de notation de la fraude, de filtrage des transactions et d'authentification, tandis que ses conditions de service actuelles stipulent que les commerçants restent responsables de décider si les transactions sont acceptées ou annulées.
Des employés actuels et anciens ont déclaré au Journal que les travailleurs de la conformité avaient fait part de leurs préoccupations concernant la flambée au PDG de Polymarket, Shayne Coplan. Selon les personnes citées par le journal, Coplan aurait répondu : « Continuez simplement à croître et payez une amende si les régulateurs le découvrent un jour. »
Polymarket n'a pas confirmé publiquement que Coplan avait fait cette remarque. La société a déclaré au Journal qu'elle maintenait des procédures pour identifier et répondre aux activités suspectes et restait déterminée à coopérer avec les régulateurs et les forces de l'ordre.
Le chiffre de 10 millions de dollars représente le montant que les fraudeurs auraient tenté de déplacer, et non une perte confirmée subie par les clients ou Polymarket. Les rapports publics examinés pour cet article ne fournissent pas de montant final retiré avec succès via le stratagème de février.
Le Journal a rapporté que la fraude élevée s'est poursuivie pendant plusieurs mois après février, bien que les taux de rejet ne soient pas revenus au sommet enregistré lors de la première vague. En mai, les taux de fraude seraient revenus aux niveaux normaux de l'industrie après que Polymarket ait limité le nombre de cartes de débit que les utilisateurs pouvaient connecter à leurs comptes et ait fait appel à Riskified en tant que fournisseur antifraude externe.
Un rapport antérieur de The Information avait séparément décrit les opérateurs de marchés de prédiction, y compris Polymarket, renforçant les contrôles de fraude par carte après que des criminels aient utilisé des identifiants de paiement volés et de fausses identités pour créer des comptes. Visa aurait poussé les processeurs de paiement à renforcer le filtrage à mesure que les transactions contestées augmentaient.
Riskified fournit des systèmes de décision de fraude automatisés utilisés pour identifier les activités de carte suspectes avant que les commerçants n'approuvent les transactions. Les documents publics de la société décrivent son service comme combinant la notation des risques par apprentissage automatique avec les contrôles de transaction des commerçants, mais Riskified n'a pas divulgué publiquement les chiffres de fraude spécifiques à Polymarket.
Le Journal a en outre rapporté que Polymarket exigeait initialement que certains retraits reviennent à la même source de paiement qui avait approvisionné un compte. La plateforme a ensuite assoupli cette restriction, selon le rapport, qui citait des employés qui avaient soulevé des préoccupations concernant les risques de criminalité financière.
Le règlement américain actuel de Polymarket donne à la bourse le pouvoir de restreindre les comptes, de placer les clients dans un statut de liquidation uniquement et de prendre d'autres mesures pour protéger les clients et l'intégrité du marché. Le dépôt auprès de la CFTC contenant la version du 20 mars a été certifié en avril.
Polymarket US est légalement distinct du marché de prédiction international basé sur la blockchain de la société.
Le registre actuel de la Commodity Futures Trading Commission (CFTC) répertorie QCX LLC, opérant sous le nom de Polymarket US, comme un marché de contrats désigné. QCX a reçu sa désignation en juillet 2025 avant d'opérer sous le nom de Polymarket US.
Comme expliqué précédemment dans la structure à deux plateformes de Polymarket, les clients américains négocient via la bourse réglementée par le gouvernement fédéral, tandis que le produit international utilise une infrastructure blockchain et des règles d'accès distinctes.
Le statut réglementaire diffère de la position de Polymarket en 2022, lorsque la CFTC a ordonné à la société de payer une amende civile de 1,4 million de dollars pour avoir proposé des options binaires basées sur des événements sans opérer via un marché enregistré. Le règlement a exigé que Polymarket mette fin aux marchés non conformes et cesse les violations citées dans l'ordonnance.
Le Journal a rapporté que la CFTC enquête actuellement sur des problèmes liés à Polymarket et que les employés ont été invités à conserver les documents concernant l'incident de fraude de février et d'autres questions.
Aucune nouvelle publication publique de la CFTC concernant spécifiquement l'épisode de cartes volées de février n'a été trouvée au 20 septembre. L'enquête rapportée doit donc être traitée comme une enquête en cours décrite par le Journal, et non comme une constatation que Polymarket a violé la loi fédérale.
Un examen parlementaire distinct était déjà en cours. Le 22 mai, la commission de la Chambre des représentants sur la surveillance et la réforme gouvernementale a demandé des documents à Polymarket concernant la vérification d'identité, les activités suspectes, les restrictions géographiques et les signalements aux autorités américaines.
La commission a spécifiquement demandé des documents montrant le nombre et la disposition des signalements d'activités suspectes depuis le 1er janvier 2024. Cette enquête portait sur les délits d'initiés et les informations sensibles, et non sur le stratagème des cartes volées rapporté ce week-end.
Depuis l'incident de février, Polymarket a renforcé ses fonctions internes d'enquête et de gestion. Shana Bautista, ancienne enquêtrice du FBI, a rejoint l'entreprise en tant que responsable mondiale des enquêtes et du renseignement. Reuters a rapporté en août que la société utilisait l'analyse blockchain, l'apprentissage automatique et la surveillance des transactions pour identifier les comportements anormaux.
La page d'intégrité du marché de Polymarket indique que la société a signalé plus de 90 comptes aux forces de l'ordre et a fourni aux autorités des détails concernant plus de 315 portefeuilles. Ces chiffres sont fournis par l'entreprise et ne se rapportent pas exclusivement à la fraude par carte de paiement.
Les autorités fédérales ont publiquement reconnu leur coopération dans au moins un cas distinct. En avril, le Bureau du procureur des États-Unis pour le district sud de New York a déclaré que Polymarket avait coopéré avec les enquêteurs dans l'affaire d'un militaire accusé d'avoir utilisé des informations classifiées pour négocier des contrats événementiels.
La CFTC a déposé une plainte parallèle pour délit d'initié alléguant que le défendeur avait gagné plus de 404 000 $ en négociant sur un marché lié à la capture de Nicolás Maduro. L'affaire reste distincte des allégations de fraude par carte de paiement de février.
Polymarket a ajouté un autre cadre supérieur le 10 septembre en nommant Warren Jenson son premier directeur financier. Avant cette nomination, Jenson a occupé des postes de direction financière chez Amazon, Electronic Arts, Delta Air Lines et Nielsen.
La société a déclaré que Jenson superviserait les finances, la stratégie de capital et la planification à long terme. Polymarket n'a pas annoncé de calendrier d'introduction en bourse lors de sa nomination, bien que le Journal ait rapporté que la société se préparait à une éventuelle cotation en bourse.
Polymarket a levé d'importants capitaux privés en parallèle. ICE, la société mère de la Bourse de New York, a divulgué un investissement en espèces supplémentaire de 600 millions de dollars en mars après avoir investi 1 milliard de dollars en 2025.
Comme l'a rapporté une récente couverture du financement de Polymarket, la société a séparément recherché environ 1 milliard de dollars de nouveaux capitaux à une valorisation proche de 21 milliards de dollars. Ce financement n'a pas été présenté par Polymarket comme un dépôt formel d'introduction en bourse.
La fraude aux paiements n'a pas été le seul problème de sécurité de l'entreprise cette année. En juin, Polymarket a confirmé qu'un fournisseur tiers compromis avait injecté du code malveillant dans son interface utilisateur pour certains utilisateurs. La société a déclaré avoir supprimé la dépendance affectée, maîtrisé l'incident et rembourserait les clients concernés.
Les enquêteurs blockchain ont ensuite estimé les pertes à environ 3,1 millions de dollars sur 11 portefeuilles. AMLBot a déclaré que les actifs volés avaient été déplacés de Polygon vers Ethereum après l'activité malveillante.
L'événement de juin était techniquement distinct de l'activité de cartes volées de février. Il impliquait une infrastructure web compromise et des interactions de portefeuille, tandis que le stratagème précédent reposait apparemment sur des identifiants de carte de débit volés et un financement de compte.
Le Journal a rapporté un autre épisode de sécurité de compte en juillet impliquant près de 500 utilisateurs. Selon son compte, des attaquants ont utilisé des informations personnelles volées pour accéder à des comptes existants et des méthodes de paiement liées via une faiblesse d'ingénierie. Polymarket aurait accepté de couvrir les pertes affectées.
Aucune notification publique de Polymarket examinée pour ce rapport ne fournit un total de pertes confirmé indépendamment de cet incident de juillet.
La position actuelle de la société est que ses contrôles de fraude ont été renforcés et qu'elle collabore avec les forces de l'ordre sur les activités suspectes. Le rapport du Journal indique que le taux de fraude aux paiements de février était revenu aux normes de l'industrie en mai après les restrictions sur les cartes de débit et le déploiement de Riskified.
ETH