Rapport: Polymarket ignorerede advarsler under svindelangreb på 10 mio. dollar

Høje afvisningsprocenter udløser indgreb mod betalingsformidleren

Startup-virksomheden Polymarket, der driver et forudsigelsesmarked, står over for beskyldninger om at have prioriteret brugervækst og aggressiv ekspansion frem for compliance-foranstaltninger, da ondsindede aktører angreb virksomhedens amerikanske platform i et forsøg på at svindle mindst 10 millioner dollar ved hjælp af stjålne betalingskort.

Hackerne koblede stjålne betalingskort til konti, placerede væddemål og forsøgte at hæve kontanter for at tømme konti eller adskille kort, som de havde kontrol over. I et tilfælde foretog en enkelt brugerkonto omkring 4.000 separate indbetalingsforsøg.

Den kraftige stigning i ulovlige aktiviteter udløste en automatisk indgriben fra betalingsformidleren Checkout.com, som begyndte at afvise indbetalinger. På krisens højdepunkt afviste Checkout.com over 80 % af Polymarkets behandlede indbetalinger som svigagtige, hvilket langt oversteg branchens standardniveau for svig på ca. 1 %.

Ifølge en rapport i Wall Street Journal rejste Polymarkets medarbejdere alvorlige advarsler over for CEO Shayne Coplan, efterhånden som afvisningerne af betalinger tog til. I stedet for at bremse driften for at styrke kontrolforanstaltningerne mod hvidvaskning af penge instruerede Coplan angiveligt compliance-medarbejderne om at fokusere på vækst og antydede, at virksomheden blot kunne betale en bøde, hvis tilsynsmyndighederne nogensinde greb ind.

Ledelsen fjernede derefter en standardpolitik til forebyggelse af svindel, der krævede, at udbetalinger skulle returneres til den samme betalingskilde, som var blevet brugt til indbetalingerne. På trods af medarbejdernes advarsler om, at ophævelsen af denne begrænsning ville åbne op for hvidvaskning af penge, blev regelændringen gennemført.

Hændelsen udløste afgangen af platformens øverste risikoledelse, herunder den amerikanske Chief Compliance Officer Andrew Clifford, der sagde op i april efter at have indsendt et formelt notat, der skitserede mangler i compliance-arbejdet. Justin Hertzberg, administrerende direktør for Polymarket US, blev afskediget, mens lederne af de amerikanske afdelinger for regulering og bekæmpelse af hvidvaskning af penge ligeledes forlod virksomheden.

Sikkerhedsbrister og undersøgelser

Debitkortangrebet i februar blev ledsaget af yderligere sikkerhedsbrud senere på året. I juni udnyttede hackere en tredjepartsleverandør til at indsætte ondsindet kode på Polymarkets hjemmeside, hvilket direkte kompromitterede visse brugeres kontosaldoer. En måned senere gjorde en fejl i kontoregistreringen det muligt for angribere, der var i besiddelse af stjålne personoplysninger, at bryde ind på næsten 500 eksisterende konti uden at bruge login-adgangskoder. Polymarket indvilligede senere i at yde erstatning til de berørte brugere.

De føderale myndigheder øger presset på platformen. Commodity Futures Trading Commission (CFTC) har indledt en undersøgelse og pålagt medarbejderne at bevare dokumentation knyttet til svindelangrebene og den interne håndtering af compliance. Polymarket står desuden over for undersøgelser af sine markedsføringsmetoder fra New York City Council samt retssager i mere end et dusin delstater, hvor selskabet beskyldes for at drive virksomhed som et ulovligt spilfirma.

Polymarket fastholdt, at dets interne kontrolforanstaltninger til sidst fik problemet under kontrol. I maj, efter at have indført et loft for antallet af betalingskort, som en enkelt bruger kunne knytte til en konto, fik virksomheden svindelprocenten ned på branchens gennemsnit. En efterfølgende undersøgelse foretaget af advokatfirmaet Sullivan & Cromwell konkluderede, at virksomheden overholdt de gældende regler.

I en offentlig erklæring forsvarede en talsmand for Polymarket platformens protokoller: »Vores rammeværk for markedsintegritet omfatter processer til at opdage, gennemgå og reagere på mistænkelig aktivitet. Polymarket er fortsat forpligtet til at opretholde nøjagtige, retfærdige og gennemsigtige markeder, samtidig med at vi samarbejder fuldt ud med tilsynsmyndighederne og retshåndhævelsen.«

For at styrke den interne styring ansatte Polymarket den tidligere FBI-agent Shauna Batista til at lede sin efterforskningsafdeling, hentede den tidligere Amazon-økonomidirektør Warren Jenson ind og udnævnte den tidligere Uber-direktør Travis Vanderzanden til Chief Growth Officer.

Den reguleringsmæssige granskning kommer, mens Polymarket søger at rejse 1 milliard dollar i finansiering til en værdiansættelse på 21 milliarder dollar, delvist drevet af en tilsagn på 300 millioner dollar fra Donald Trump Jr.s 1789 Capital, idet selskabet lægger grunden til en potentiel børsnotering.