Polymarket опинився під посиленою увагою після того, як у звіті від 19 вересня йшлося про те, що шахраї використовували викрадені дебетові картки на його платформі в США в лютому, намагаючись здійснити незаконні виведення коштів та ставки на суму щонайменше 10 мільйонів доларів.
The Wall Street Journal повідомила, що злочинці прив'язали викрадені картки до тисяч акаунтів Polymarket US, поповнили їх, а потім спробували перемістити гроші через торгівлю, перш ніж вивести їх на картки або рахунки, які вони контролювали.
На піку лютневої атаки платіжний процесор Checkout.com відхилив понад 80% депозитів, які він обробляв для Polymarket, як шахрайські, згідно з The Journal. Газета порівняла цей показник із середнім галузевим рівнем приблизно в 1%.
Цифра в 80% не була незалежно підтверджена Checkout.com у публічній заяві, переглянутій для цього звіту. Checkout.com надає продавцям інструменти для оцінки шахрайства, фільтрації транзакцій та автентифікації, тоді як її поточні умови обслуговування зазначають, що продавці залишаються відповідальними за прийняття рішення про прийняття або скасування транзакцій.
Нинішні та колишні співробітники повідомили The Journal, що співробітники з комплаєнсу повідомили генеральному директору Polymarket Шейну Коплану про зростання занепокоєння. За словами людей, цитованих газетою, Коплан відповів: "Просто продовжуйте рости і платіть штраф, якщо регулятори колись дізнаються".
Polymarket публічно не підтвердив, що Коплан зробив цю заяву. Компанія повідомила The Journal, що вона підтримує процедури для виявлення та реагування на підозрілу діяльність і залишається відданою співпраці з регуляторами та правоохоронними органами.
Сума в 10 мільйонів доларів представляє суму, яку шахраї нібито намагалися перемістити, а не підтверджені втрати, понесені клієнтами або Polymarket. Публічні звіти, переглянуті для цієї статті, не надають остаточної суми, успішно виведеної за лютневою схемою.
The Journal повідомила, що підвищений рівень шахрайства тривав кілька місяців після лютого, хоча показники відхилення не повернулися до піку, зафіксованого під час першої хвилі. До травня рівень шахрайства, як повідомляється, повернувся до нормальних галузевих рівнів після того, як Polymarket обмежив кількість дебетових карток, які користувачі могли прив'язати до своїх рахунків, і залучив Riskified як зовнішнього постачальника рішень проти шахрайства.
Раніше у звіті The Information окремо описувалося, як оператори ринків прогнозів, включаючи Polymarket, посилювали контроль за шахрайством з картками після того, як злочинці використовували викрадені платіжні дані та підроблені ідентифікатори для створення акаунтів. Visa, як повідомляється, змусила платіжні процесори посилити перевірку у зв'язку зі збільшенням кількості спірних транзакцій.
Riskified надає автоматизовані системи прийняття рішень щодо шахрайства, які використовуються для виявлення підозрілої карткової активності до того, як продавці схвалюють транзакції. Публічні матеріали компанії описують її послуги як поєднання машинного навчання для оцінки ризиків з контролем транзакцій продавця, але Riskified публічно не розголошував конкретні показники шахрайства Polymarket.
The Journal також повідомила, що Polymarket спочатку вимагала, щоб деякі виведення коштів поверталися до того ж джерела платежу, яке фінансувало рахунок. Пізніше платформа послабила це обмеження, згідно зі звітом, який цитував співробітників, які висловили занепокоєння щодо ризиків фінансових злочинів.
Поточний звід правил Polymarket у США надає біржі повноваження обмежувати рахунки, переводити клієнтів у статус "тільки для ліквідації" та вживати інші заходи для захисту клієнтів та цілісності ринку. Документ CFTC, що містить версію від 20 березня, був сертифікований у квітні.
Polymarket US є юридично відокремленим від міжнародного блокчейн-орієнтованого ринку прогнозів компанії.
Поточний реєстр Комісії з торгівлі товарними ф'ючерсами (CFTC) вказує QCX LLC, що працює як Polymarket US, як призначений контрактний ринок. QCX отримав своє призначення в липні 2025 року, перш ніж почав працювати під назвою Polymarket US.
Як було пояснено раніше у двоплатформній структурі Polymarket, клієнти з США торгують через федерально регульовану біржу, тоді як міжнародний продукт використовує окрему блокчейн-інфраструктуру та правила доступу.
Регуляторний статус відрізняється від позиції Polymarket у 2022 році, коли CFTC наказала компанії сплатити цивільний штраф у розмірі 1,4 мільйона доларів за пропозицію бінарних опціонів, заснованих на подіях, без функціонування через зареєстрований ринок. Угода вимагала від Polymarket згорнути невідповідні ринки та припинити порушення, зазначені в наказі.
The Journal повідомила, що CFTC наразі розслідує питання, пов'язані з Polymarket, і що співробітникам було доручено зберегти документи, що стосуються лютневого інциденту шахрайства та інших питань.
Нового публічного повідомлення CFTC про примусові заходи, що конкретно стосується лютневого епізоду з викраденими картками, не було знайдено станом на 20 вересня. Тому повідомлене розслідування слід розглядати як поточне розслідування, описане The Journal, а не як висновок про те, що Polymarket порушив федеральний закон.
Окреме розслідування Конгресу вже тривало. 22 травня Комітет Палати представників з нагляду та державної реформи запросив у Polymarket записи щодо перевірки особистості, підозрілої діяльності, географічних обмежень та звернень до органів влади США.
Комітет конкретно запросив документи, що показують кількість та результат звернень щодо підозрілої діяльності з 1 січня 2024 року. Це розслідування зосереджувалося на інсайдерській торгівлі та конфіденційній інформації, а не на схемі з викраденими картками, про яку повідомлялося цього тижня.
Після лютневого інциденту Polymarket розбудував свої внутрішні функції розслідування та управління. Шана Баутіста, колишній слідчий ФБР, приєдналася до компанії як глобальний керівник відділу розслідувань та розвідки. Reuters повідомила у серпні, що компанія використовує блокчейн-аналітику, машинне навчання та нагляд за торгівлею для виявлення аномальної поведінки.
Власна сторінка Polymarket щодо цілісності ринку заявляє, що компанія передала понад 90 рахунків правоохоронним органам та надала владі деталі щодо понад 315 гаманців. Ці цифри надані компанією і не стосуються виключно шахрайства з платіжними картками.
Федеральні органи влади публічно визнали співпрацю принаймні в одній окремій справі. У квітні прокуратура США Південного округу Нью-Йорка заявила, що Polymarket співпрацював зі слідчими у справі військовослужбовця армії, якого звинувачували у використанні секретної інформації для торгівлі контрактів на події.
CFTC подала паралельну скаргу про інсайдерську торгівлю, стверджуючи, що обвинувачений заробив понад 404 000 доларів, торгуючи на ринку, пов'язаному із захопленням Ніколаса Мадуро. Ця справа залишається відокремленою від лютневих звинувачень у шахрайстві з платіжними картками.
Polymarket додав ще одного старшого керівника 10 вересня, коли призначив Воррена Дженсона своїм першим фінансовим директором. До призначення фінансовим директором Дженсон раніше обіймав керівні фінансові посади в Amazon, Electronic Arts, Delta Air Lines та Nielsen.
Компанія заявила, що Дженсон керуватиме фінансами, стратегією капіталу та довгостроковим плануванням. Polymarket не оголошував термінів IPO, коли призначав його, хоча The Journal повідомила, що компанія готується до потенційного публічного розміщення акцій.
Polymarket паралельно залучав великі обсяги приватного капіталу. ICE, материнська компанія Нью-Йоркської фондової біржі, розкрила додаткові інвестиції в розмірі 600 мільйонів доларів у березні після інвестування 1 мільярда доларів у 2025 році.
Як повідомлялося в нещодавніх публікаціях про фінансування Polymarket, компанія окремо шукала близько 1 мільярда доларів нового капіталу за оцінки майже 21 мільярд доларів. Це фінансування не було представлено Polymarket як офіційна подача заявки на IPO.
Шахрайство з платежами не було єдиною проблемою безпеки компанії цього року. У червні Polymarket підтвердила, що скомпрометований сторонній постачальник ввів шкідливий код у її фронтенд для деяких користувачів. Компанія заявила, що видалила залежність, яку було зачеплено, локалізувала інцидент та відшкодує збитки постраждалим клієнтам.
Блокчейн-дослідники пізніше оцінили втрати приблизно в 3,1 мільйона доларів на 11 гаманцях. AMLBot повідомив, що викрадені активи були переміщені з Polygon на Ethereum після шкідливої активності.
Червневий інцидент технічно був окремим від лютневої активності з викраденими картками. Він включав скомпрометовану веб-інфраструктуру та взаємодію з гаманцями, тоді як попередня схема, як повідомляється, покладалася на викрадені дані дебетових карток та поповнення рахунків.
The Journal повідомила про ще один інцидент безпеки облікових записів у липні, який стосувався майже 500 користувачів. Згідно з її даними, зловмисники використали викрадену особисту інформацію для доступу до існуючих облікових записів та прив'язаних платіжних методів через інженерну вразливість. Polymarket, як повідомляється, погодилася покрити понесені збитки.
Жодне публічне повідомлення Polymarket, переглянуте для цього звіту, не надає незалежно підтвердженої загальної суми збитків від цього липневого інциденту.
Поточна позиція компанії полягає в тому, що її засоби контролю шахрайства були посилені, і що вона співпрацює з правоохоронними органами щодо підозрілої діяльності. У звіті The Journal сказано, що показник шахрайства з платежами в лютому повернувся до галузевих норм до травня після обмежень на дебетові картки та впровадження Riskified.
ETH
