Bericht: Polymarket ignorierte Warnungen während eines Betrugsangriffs in Höhe von 10 Millionen Dollar

Hohe Ablehnungsquoten lösen hartes Durchgreifen des Zahlungsabwicklers aus

Das Prognosemarkt-Startup Polymarket sieht sich dem Vorwurf ausgesetzt, die Nutzerakquise und aggressives Wachstum über Compliance-Maßnahmen gestellt zu haben, als Kriminelle seine US-Plattform ins Visier nahmen, um mit gestohlenen Debitkarten mindestens 10 Millionen Dollar abzuzweigen.

Die Angreifer verknüpften gestohlene Zahlungskarten mit Konten, platzierten Wetten und versuchten, Bargeld abzuheben, um Konten oder einzelne Karten unter ihrer Kontrolle zu „waschen“. In einem Fall unternahm ein einzelnes Benutzerkonto rund 4.000 separate Einzahlungsversuche.

Der Anstieg illegaler Aktivitäten löste ein automatisches Eingreifen des Zahlungsabwicklers Checkout.com aus, der daraufhin begann, Einzahlungen abzulehnen. Auf dem Höhepunkt der Krise wies Checkout.com mehr als 80 % der von Polymarket verarbeiteten Einzahlungen als betrügerisch zurück, was weit über den branchenüblichen Betrugsquoten von etwa 1 % lag.

Laut einem Bericht des „Wall Street Journal“ schlugen Mitarbeiter von Polymarket bei CEO Shayne Coplan dringend Alarm, als die Zahlungsverweigerungen zunahmen. Anstatt den Betrieb zu drosseln, um die Kontrollen zur Bekämpfung der Geldwäsche zu verstärken, wies Coplan die Compliance-Mitarbeiter Berichten zufolge an, sich auf das Wachstum zu konzentrieren, und deutete an, das Unternehmen könne einfach eine Geldstrafe zahlen, falls die Aufsichtsbehörden jemals eingreifen sollten.

Die Führungskräfte hoben daraufhin eine standardmäßige Richtlinie zur Betrugsbekämpfung auf, wonach Auszahlungen auf dieselbe Zahlungsquelle zurückfließen mussten, die für die Einzahlungen genutzt worden war. Trotz der Warnungen der Mitarbeiter, dass die Aufhebung dieser Beschränkung Geldwäsche begünstigen würde, wurde die Regeländerung umgesetzt.

Der Vorfall führte zum Ausscheiden der leitenden Risikomanager der Plattform, darunter der US-Chief Compliance Officer Andrew Clifford, der im April zurücktrat, nachdem er ein formelles Memo vorgelegt hatte, in dem er Compliance-Mängel darlegte. Justin Hertzberg, CEO von Polymarket US, wurde entlassen, während auch die Leiter der Bereiche US-Regulierung und Geldwäschebekämpfung das Unternehmen verließen.

Sicherheitslücken und Ermittlungen

Dem Debitkartenangriff im Februar folgten im Laufe des Jahres weitere Sicherheitslücken. Im Juni nutzten Hacker einen Drittanbieter aus, um bösartigen Code in die Website von Polymarket einzuschleusen, wodurch bestimmte Nutzerguthaben direkt kompromittiert wurden. Einen Monat später ermöglichte eine Schwachstelle bei der Kontoregistrierung Angreifern, die über gestohlene personenbezogene Daten verfügten, in fast 500 bestehende Konten einzudringen, ohne dass sie Login-Passwörter benötigten. Polymarket erklärte sich später bereit, den betroffenen Nutzern den Schaden zu ersetzen. Die Bundesbehörden erhöhen den Druck auf die Plattform. Die Commodity Futures Trading Commission (CFTC) hat eine Untersuchung eingeleitet und Mitarbeiter angewiesen, Unterlagen im Zusammenhang mit den Betrugsangriffen und der internen Compliance-Behandlung zu sichern. Polymarket sieht sich zudem mit Untersuchungen des New Yorker Stadtrats zu seinen Marketingpraktiken konfrontiert sowie mit Klagen in mehr als einem Dutzend Bundesstaaten, in denen dem Unternehmen vorgeworfen wird, als nicht lizenziertes Glücksspielunternehmen zu agieren.

Polymarket beharrte darauf, dass seine internen Kontrollen das Problem schließlich eingedämmt hätten. Bis Mai gelang es dem Unternehmen, nachdem es die Anzahl der Debitkarten begrenzt hatte, die ein einzelner Nutzer mit einem Konto verknüpfen konnte, die Betrugsraten auf den Branchendurchschnitt zu senken. Eine anschließende Untersuchung durch die Anwaltskanzlei Sullivan & Cromwell kam zu dem Schluss, dass das Unternehmen die geltenden Vorschriften eingehalten habe.

In einer öffentlichen Erklärung verteidigte ein Sprecher von Polymarket die Protokolle der Plattform: „Unser Rahmenwerk zur Marktintegrität umfasst Prozesse zur Erkennung, Überprüfung und Reaktion auf verdächtige Aktivitäten. Polymarket setzt sich weiterhin für die Aufrechterhaltung genauer, fairer und transparenter Märkte ein und arbeitet dabei uneingeschränkt mit den Aufsichtsbehörden und Strafverfolgungsbehörden zusammen.“

Um die interne Unternehmensführung zu stärken, stellte Polymarket die ehemalige FBI-Agentin Shauna Batista als Leiterin der Ermittlungsabteilung ein, holte den ehemaligen Amazon-Finanzvorstand Warren Jenson an Bord und ernannte den ehemaligen Uber-Manager Travis Vanderzanden zum Chief Growth Officer.

Die behördliche Überprüfung erfolgt zu einem Zeitpunkt, an dem Polymarket versucht, Finanzmittel in Höhe von 1 Milliarde US-Dollar bei einer Bewertung von 21 Milliarden US-Dollar aufzubringen – angeführt unter anderem durch eine Zusage über 300 Millionen US-Dollar von Donald Trump Jr.s 1789 Capital –, während das Unternehmen die Grundlagen für einen möglichen Börsengang schafft.