Polymarket kembali menjadi sorotan setelah laporan 19 September mengatakan penipu menggunakan kartu debit curian di platform AS-nya pada bulan Februari untuk mencoba melakukan penarikan dan taruhan ilegal senilai setidaknya $10 juta.
The Wall Street Journal melaporkan bahwa para kriminal menghubungkan kartu curian ke ribuan akun Polymarket AS, mendanainya, dan kemudian mencoba memindahkan uang melalui perdagangan sebelum menariknya ke kartu atau akun yang mereka kendalikan.
Pada puncak serangan Februari, pemroses pembayaran Checkout.com menolak lebih dari 80% deposit yang ditanganinya untuk Polymarket sebagai penipuan, menurut Journal. Surat kabar tersebut membandingkan angka tersebut dengan tingkat industri sekitar 1%.
Angka 80% belum dikonfirmasi secara independen oleh Checkout.com dalam pernyataan publik yang ditinjau untuk laporan ini. Checkout.com memang menyediakan alat penilaian penipuan, penyaringan transaksi, dan otentikasi kepada pedagang, sementara syarat layanannya saat ini menyatakan bahwa pedagang tetap bertanggung jawab untuk memutuskan apakah transaksi diterima atau dibatalkan.
Karyawan saat ini dan mantan karyawan mengatakan kepada Journal bahwa pekerja kepatuhan meningkatkan kekhawatiran tentang lonjakan tersebut kepada CEO Polymarket Shayne Coplan. Menurut orang-orang yang dikutip oleh surat kabar, Coplan menjawab: "Teruslah berkembang dan bayar denda jika regulator mengetahuinya."
Polymarket belum mengonfirmasi secara publik bahwa Coplan membuat pernyataan tersebut. Perusahaan mengatakan kepada Journal bahwa mereka mempertahankan prosedur untuk mengidentifikasi dan menanggapi aktivitas mencurigakan dan tetap berkomitmen untuk bekerja sama dengan regulator dan penegak hukum.
Angka $10 juta merepresentasikan jumlah yang diduga coba dipindahkan oleh penipu, bukan kerugian yang dikonfirmasi diderita oleh pelanggan atau Polymarket. Pelaporan publik yang ditinjau untuk artikel ini tidak memberikan jumlah akhir yang berhasil ditarik melalui skema Februari.
Journal melaporkan bahwa penipuan yang meningkat terus berlanjut selama beberapa bulan setelah Februari, meskipun tingkat penolakan tidak kembali ke puncaknya yang tercatat selama gelombang pertama. Pada bulan Mei, tingkat penipuan dilaporkan telah kembali ke tingkat industri normal setelah Polymarket membatasi berapa banyak kartu debit yang dapat dihubungkan pengguna ke akun mereka dan mendatangkan Riskified sebagai penyedia anti-penipuan eksternal.
Laporan sebelumnya dari The Information secara terpisah menggambarkan operator pasar prediksi, termasuk Polymarket, yang memperkuat kontrol penipuan kartu setelah para kriminal menggunakan kredensial pembayaran curian dan identitas palsu untuk membuat akun. Visa dilaporkan mendesak pemroses pembayaran untuk memperketat penyaringan seiring meningkatnya transaksi yang disengketakan.
Riskified menyediakan sistem keputusan penipuan otomatis yang digunakan untuk mengidentifikasi aktivitas kartu yang mencurigakan sebelum pedagang menyetujui transaksi. Materi publik dari perusahaan tersebut menggambarkan layanannya sebagai kombinasi penilaian risiko pembelajaran mesin dengan kontrol transaksi pedagang, tetapi Riskified belum secara publik mengungkapkan angka penipuan spesifik Polymarket.
Journal lebih lanjut melaporkan bahwa Polymarket awalnya mensyaratkan beberapa penarikan untuk kembali ke sumber pembayaran yang sama yang telah mendanai sebuah akun. Platform tersebut kemudian melonggarkan pembatasan tersebut, menurut laporan itu, yang mengutip karyawan yang mengemukakan kekhawatiran tentang risiko kejahatan keuangan.
Buku aturan AS Polymarket saat ini memberikan wewenang kepada bursa untuk membatasi akun, menempatkan pelanggan dalam status likuidasi-saja, dan mengambil langkah-langkah lain untuk melindungi pelanggan dan integritas pasar. Pengajuan CFTC yang berisi versi 20 Maret disertifikasi pada bulan April.
Polymarket AS secara hukum terpisah dari pasar prediksi berbasis blockchain internasional perusahaan tersebut.
Daftar Komisi Perdagangan Berjangka Komoditi (CFTC) saat ini mencantumkan QCX LLC, yang berbisnis sebagai Polymarket AS, sebagai pasar kontrak yang ditunjuk. QCX menerima penunjukannya pada Juli 2025 sebelum beroperasi dengan nama Polymarket AS.
Seperti yang dijelaskan sebelumnya dalam struktur dua-platform Polymarket, pelanggan AS berdagang melalui bursa yang diatur secara federal, sementara produk internasional menggunakan infrastruktur blockchain dan aturan akses terpisah.
Status regulasi ini berbeda dari posisi Polymarket pada tahun 2022, ketika CFTC memerintahkan perusahaan untuk membayar denda perdata $1,4 juta karena menawarkan opsi biner berbasis peristiwa tanpa beroperasi melalui pasar terdaftar. Penyelesaian tersebut mensyaratkan Polymarket untuk menghentikan pasar yang tidak patuh dan mengakhiri pelanggaran yang disebutkan dalam perintah.
Journal melaporkan bahwa CFTC sekarang sedang menyelidiki masalah yang terkait dengan Polymarket dan bahwa karyawan diinstruksikan untuk menyimpan dokumen yang melibatkan insiden penipuan Februari dan masalah lainnya.
Tidak ada rilis penegakan hukum CFTC publik baru yang secara khusus membahas episode kartu curian Februari yang ditemukan per 20 September. Oleh karena itu, investigasi yang dilaporkan harus diperlakukan sebagai penyelidikan yang sedang berlangsung yang dijelaskan oleh Journal, bukan temuan bahwa Polymarket melanggar hukum federal.
Pengawasan kongres terpisah sudah berjalan. Pada 22 Mei, Komite Pengawasan dan Reformasi Pemerintah DPR meminta catatan dari Polymarket mengenai verifikasi identitas, aktivitas mencurigakan, pembatasan geografis, dan rujukan kepada otoritas AS.
Komite secara khusus meminta dokumen yang menunjukkan jumlah dan disposisi rujukan aktivitas mencurigakan sejak 1 Januari 2024. Penyelidikan tersebut berpusat pada perdagangan orang dalam dan informasi sensitif, bukan skema kartu curian yang dilaporkan akhir pekan ini.
Sejak insiden Februari, Polymarket telah membangun fungsi investigasi dan manajemen internalnya. Shana Bautista, mantan penyelidik FBI, bergabung sebagai kepala investigasi dan intelijen global. Reuters melaporkan pada bulan Agustus bahwa perusahaan menggunakan analitik blockchain, pembelajaran mesin, dan pengawasan perdagangan untuk mengidentifikasi perilaku anomali.
Halaman integritas pasar Polymarket sendiri mengatakan perusahaan telah merujuk lebih dari 90 akun ke penegak hukum dan memberikan rincian kepada pihak berwenang yang melibatkan lebih dari 315 dompet. Angka-angka tersebut dilaporkan oleh perusahaan dan tidak secara eksklusif terkait dengan penipuan kartu pembayaran.
Otoritas federal telah secara publik mengakui kerja sama dalam setidaknya satu kasus terpisah. Pada bulan April, Kantor Kejaksaan Agung AS untuk Distrik Selatan New York mengatakan Polymarket bekerja sama dengan penyelidik dalam kasus seorang anggota militer yang dituduh menggunakan informasi rahasia untuk memperdagangkan kontrak acara.
CFTC mengajukan pengaduan perdagangan orang dalam paralel yang menuduh bahwa terdakwa memperoleh lebih dari $404.000 dengan memperdagangkan pasar yang terkait dengan penangkapan Nicolás Maduro. Kasus tersebut tetap terpisah dari tuduhan penipuan kartu pembayaran bulan Februari.
Polymarket menambahkan eksekutif senior lainnya pada 10 September ketika menunjuk Warren Jenson sebagai direktur keuangan (CFO) pertamanya. Penunjukan CFO, Jenson sebelumnya menjabat dalam peran keuangan senior di Amazon, Electronic Arts, Delta Air Lines, dan Nielsen.
Perusahaan mengatakan Jenson akan mengawasi keuangan, strategi permodalan, dan perencanaan jangka panjang. Polymarket tidak mengumumkan jadwal IPO ketika menunjuknya, meskipun Journal melaporkan bahwa perusahaan sedang mempersiapkan diri untuk potensi pencatatan publik.
Polymarket telah mengumpulkan modal swasta dalam jumlah besar secara paralel. ICE, induk dari New York Stock Exchange, mengungkapkan investasi tunai lebih lanjut sebesar $600 juta pada bulan Maret setelah berinvestasi $1 miliar pada tahun 2025.
Seperti yang dilaporkan oleh liputan pendanaan Polymarket baru-baru ini, perusahaan secara terpisah telah mencari sekitar $1 miliar modal baru dengan valuasi mendekati $21 miliar. Pembiayaan tersebut belum disajikan oleh Polymarket sebagai pengajuan IPO formal.
Penipuan pembayaran bukanlah satu-satunya masalah keamanan perusahaan tahun ini. Pada bulan Juni, Polymarket mengonfirmasi bahwa vendor pihak ketiga yang disusupi menyuntikkan kode berbahaya ke bagian depan (frontend) platformnya untuk beberapa pengguna. Perusahaan mengatakan telah menghapus dependensi yang terpengaruh, mengatasi insiden tersebut, dan akan mengganti kerugian pelanggan yang terkena dampak.
Penyelidik blockchain kemudian memperkirakan kerugian sekitar $3,1 juta di 11 dompet. AMLBot mengatakan aset curian dipindahkan dari Polygon ke Ethereum setelah aktivitas berbahaya tersebut.
Insiden Juni secara teknis terpisah dari aktivitas kartu curian Februari. Insiden tersebut melibatkan infrastruktur web dan interaksi dompet yang disusupi, sementara skema sebelumnya dilaporkan mengandalkan kredensial kartu debit curian dan pendanaan akun.
Journal melaporkan insiden keamanan akun lainnya pada bulan Juli yang melibatkan hampir 500 pengguna. Menurut laporannya, penyerang menggunakan informasi pribadi curian untuk mengakses akun yang ada dan metode pembayaran yang terhubung melalui kelemahan rekayasa. Polymarket dilaporkan setuju untuk menanggung kerugian yang terkena dampak.
Tidak ada pemberitahuan publik Polymarket yang ditinjau untuk laporan ini yang memberikan total kerugian yang dikonfirmasi secara independen dari insiden Juli tersebut.
Posisi perusahaan saat ini adalah bahwa kontrol penipuannya telah diperkuat dan bahwa mereka bekerja sama dengan penegak hukum terkait aktivitas mencurigakan. Laporan Journal mengatakan tingkat penipuan pembayaran Februari telah kembali ke norma industri pada bulan Mei setelah pembatasan kartu debit dan penerapan Riskified.
ETH