Rapporto: Polymarket ha ignorato gli avvertimenti durante l’attacco fraudolento da 10 milioni di dollari

Gli elevati tassi di rifiuto innescano un giro di vite da parte del gestore dei pagamenti

La startup Polymarket, attiva nel settore dei mercati predittivi, è accusata di aver privilegiato l’espansione della base utenti e una crescita aggressiva a scapito delle misure di conformità, quando malintenzionati hanno preso di mira la sua piattaforma statunitense nel tentativo di sottrarre almeno 10 milioni di dollari utilizzando carte di debito rubate.

Gli aggressori hanno collegato le carte di pagamento rubate ai conti, hanno effettuato scommesse e hanno tentato di prelevare contanti per ripulire i conti o separare le carte sotto il loro controllo. In un caso, un singolo account utente ha effettuato circa 4.000 tentativi di deposito distinti.

L’impennata delle attività illecite ha innescato un intervento automatico da parte del gestore di pagamenti Checkout.com, che ha iniziato a rifiutare i depositi. Al culmine della crisi, Checkout.com ha respinto oltre l’80% dei depositi elaborati da Polymarket in quanto fraudolenti, superando di gran lunga i livelli standard di frode del settore, pari a circa l’1%.

Secondo un articolo del Wall Street Journal, i dipendenti di Polymarket hanno segnalato con urgenza la situazione al CEO Shayne Coplan man mano che i rifiuti dei pagamenti aumentavano. Anziché rallentare le operazioni per rafforzare i controlli antiriciclaggio, Coplan avrebbe incaricato il personale addetto alla conformità di concentrarsi sulla crescita, suggerendo che l’azienda avrebbe potuto semplicemente pagare una multa qualora le autorità di regolamentazione fossero intervenute.

I dirigenti hanno quindi eliminato una politica standard di prevenzione delle frodi che richiedeva che i prelievi fossero restituiti alla stessa fonte di pagamento utilizzata per i depositi. Nonostante gli avvertimenti del personale secondo cui l’abolizione di tale restrizione avrebbe favorito il riciclaggio di denaro, la modifica della regola è andata avanti.

L’incidente ha provocato l’abbandono dei vertici della direzione dei rischi della piattaforma, tra cui il responsabile della conformità per gli Stati Uniti Andrew Clifford, che si è dimesso ad aprile dopo aver presentato una nota formale in cui illustrava le carenze in materia di conformità. Justin Hertzberg, amministratore delegato di Polymarket US, è stato licenziato, mentre anche i responsabili della regolamentazione statunitense e dell’antiriciclaggio hanno lasciato l’azienda.

Falle di sicurezza e indagini

L’attacco alle carte di debito di febbraio è stato seguito da ulteriori falle nella sicurezza nel corso dell’anno. A giugno, alcuni hacker hanno sfruttato un fornitore terzo per iniettare codice dannoso nel sito web di Polymarket, compromettendo direttamente i saldi di alcuni utenti. Un mese dopo, una falla nella registrazione degli account ha permesso agli aggressori, muniti di dati personali rubati, di violare quasi 500 account esistenti senza bisogno di password di accesso. Polymarket ha successivamente accettato di rimborsare gli utenti coinvolti. Le autorità federali stanno aumentando la pressione sulla piattaforma. La Commodity Futures Trading Commission (CFTC) ha avviato un’indagine, ordinando ai dipendenti di conservare i documenti relativi agli attacchi fraudolenti e alla gestione interna della conformità. Polymarket deve inoltre affrontare indagini sulle sue pratiche di marketing da parte del Consiglio comunale di New York, oltre a cause legali in più di una dozzina di stati in cui viene accusata di operare come impresa di gioco d’azzardo senza licenza.

Polymarket ha sostenuto che i propri controlli interni siano riusciti alla fine a contenere il problema. A maggio, dopo aver limitato il numero di carte di debito che un singolo utente poteva associare a un conto, l’azienda ha riportato i tassi di frode ai livelli medi del settore. Una successiva indagine condotta dallo studio legale Sullivan & Cromwell ha concluso che l’azienda ha rispettato le norme applicabili.

In una dichiarazione pubblica, un portavoce di Polymarket ha difeso i protocolli della piattaforma: «Il nostro quadro di integrità di mercato include processi per individuare, esaminare e rispondere alle attività sospette. Polymarket rimane impegnata a mantenere mercati accurati, equi e trasparenti, collaborando pienamente con le autorità di regolamentazione e le forze dell’ordine».

Per rafforzare la governance interna, Polymarket ha assunto l’ex agente dell’FBI Shauna Batista a capo del proprio dipartimento investigativo, ha ingaggiato l’ex direttore finanziario di Amazon Warren Jenson e ha nominato l’ex dirigente di Uber Travis Vanderzanden come chief growth officer.

L’attenzione delle autorità di regolamentazione arriva mentre Polymarket sta cercando di raccogliere 1 miliardo di dollari di finanziamenti con una valutazione di 21 miliardi di dollari, guidata in parte da un impegno di 300 milioni di dollari da parte della 1789 Capital di Donald Trump Jr., mentre getta le basi per una potenziale offerta pubblica iniziale.