Rapport : Polymarket aurait ignoré les avertissements lors d'une attaque frauduleuse de 10 millions de dollars

Des taux de rejet élevés déclenchent une vague de mesures répressives de la part des prestataires de paiement

La start-up Polymarket, spécialisée dans les marchés prédictifs, est accusée d’avoir privilégié l’augmentation du nombre d’utilisateurs et une croissance agressive au détriment des mesures de conformité, alors que des malfaiteurs ont ciblé sa plateforme américaine dans le but de détourner au moins 10 millions de dollars à l’aide de cartes de débit volées.

Les attaquants ont associé des cartes de paiement volées à des comptes, ont placé des paris et ont tenté de retirer des espèces pour « blanchir » des comptes ou des cartes distinctes sous leur contrôle. Dans un cas précis, un seul compte utilisateur a effectué environ 4 000 tentatives de dépôt distinctes.

La recrudescence de ces activités illicites a déclenché une intervention automatisée du prestataire de paiement Checkout.com, qui a commencé à rejeter les dépôts. Au plus fort de la crise, Checkout.com a rejeté plus de 80 % des dépôts traités par Polymarket en les qualifiant de frauduleux, un taux dépassant de loin les niveaux de fraude habituels du secteur, qui s’élèvent à environ 1 %.

Selon un article du Wall Street Journal, les employés de Polymarket ont tiré la sonnette d’alarme auprès du PDG Shayne Coplan alors que les rejets de paiement se multipliaient. Plutôt que de ralentir les opérations pour renforcer les contrôles anti-blanchiment, M. Coplan aurait demandé au personnel chargé de la conformité de se concentrer sur la croissance, laissant entendre que l’entreprise pourrait simplement payer une amende si les autorités de régulation venaient à intervenir.

Les dirigeants ont alors supprimé une politique standard de prévention de la fraude exigeant que les retraits soient reversés sur la même source de paiement que celle utilisée pour les dépôts. Malgré les avertissements du personnel selon lesquels la suppression de cette restriction favorisait le blanchiment d’argent, la modification de la règle a été mise en œuvre.

Cet incident a entraîné le départ des responsables de la gestion des risques de la plateforme, notamment celui du directeur de la conformité pour les États-Unis, Andrew Clifford, qui a démissionné en avril après avoir remis une note de service officielle soulignant les lacunes en matière de conformité. Justin Hertzberg, PDG de Polymarket US, a été licencié, tandis que les responsables de la réglementation américaine et de la lutte contre le blanchiment d’argent ont également quitté l’entreprise.

Failles de sécurité et enquêtes

L’attaque visant les cartes de débit en février a été suivie d’autres failles de sécurité plus tard dans l’année. En juin, des pirates ont exploité un fournisseur tiers pour injecter du code malveillant dans le site web de Polymarket, compromettant directement les soldes de certains utilisateurs. Un mois plus tard, une faille dans le processus d’enregistrement des comptes a permis à des attaquants disposant de données personnelles volées de pirater près de 500 comptes existants sans mot de passe de connexion. Polymarket a par la suite accepté de rembourser les utilisateurs lésés. Les autorités fédérales accentuent la pression sur la plateforme. La Commodity Futures Trading Commission (CFTC) a ouvert une enquête, ordonnant à ses employés de conserver les documents liés aux attaques frauduleuses et à la gestion interne de la conformité. Polymarket fait également l’objet d’enquêtes menées par le Conseil municipal de New York concernant ses pratiques commerciales, ainsi que de poursuites judiciaires dans plus d’une douzaine d’États, qui l’accusent d’opérer comme une entreprise de jeux d’argent sans licence.

Polymarket a affirmé que ses contrôles internes avaient finalement permis de maîtriser le problème. En mai, après avoir plafonné le nombre de cartes de débit qu’un utilisateur pouvait associer à un compte, l’entreprise a ramené les taux de fraude aux moyennes du secteur. Une enquête menée par la suite par le cabinet d’avocats Sullivan & Cromwell a conclu que l’entreprise respectait les règles applicables.

Dans un communiqué public, un porte-parole de Polymarket a défendu les protocoles de la plateforme : « Notre cadre d’intégrité du marché comprend des processus permettant de détecter, d’examiner et de réagir face à des activités suspectes. Polymarket reste déterminée à maintenir des marchés précis, équitables et transparents, tout en coopérant pleinement avec les régulateurs et les forces de l’ordre. »

Afin de renforcer sa gouvernance interne, Polymarket a recruté Shauna Batista, ancienne agente du FBI, pour diriger son service d’enquête, a fait appel à Warren Jenson, ancien directeur financier d’Amazon, et a nommé Travis Vanderzanden, ancien cadre d’Uber, au poste de directeur de la croissance.

Cette surveillance réglementaire intervient alors que Polymarket cherche à lever 1 milliard de dollars de financement pour une valorisation de 21 milliards de dollars, en partie grâce à un engagement de 300 millions de dollars de la part de 1789 Capital, la société de Donald Trump Jr., tandis qu’elle prépare le terrain pour une éventuelle introduction en bourse.