Verslag: Polymarket negeerde waarschuwingen tijdens fraudeaanval van 10 miljoen dollar

Hoge afwijzingspercentages leiden tot hard optreden tegen betalingsverwerker

De voorspellingsmarkt-startup Polymarket wordt ervan beschuldigd gebruikersuitbreiding en agressieve groei voorrang te hebben gegeven boven nalevingsmaatregelen, toen kwaadwillenden het Amerikaanse platform aanvielen in een poging om ten minste 10 miljoen dollar weg te sluizen met gestolen debetkaarten.

Aanvallers koppelden gestolen betaalkaarten aan accounts, plaatsten weddenschappen en probeerden geld op te nemen om accounts leeg te halen of afzonderlijke kaarten onder hun controle te krijgen. In één geval deed één gebruikersaccount ongeveer 4.000 afzonderlijke stortingspogingen.

De sterke toename van illegale activiteiten leidde tot geautomatiseerde ingrepen door betalingsverwerker Checkout.com, die stortingen begon te weigeren. Op het hoogtepunt van de crisis wees Checkout.com meer dan 80% van de door Polymarket verwerkte stortingen af als frauduleus, wat ver boven het standaard fraudeprocent in de sector van ongeveer 1% ligt.

Volgens een rapport in de Wall Street Journal hebben medewerkers van Polymarket CEO Shayne Coplan dringend gewaarschuwd toen het aantal afgewezen betalingen toenam. In plaats van de bedrijfsvoering te vertragen om de controles ter bestrijding van witwassen aan te scherpen, zou Coplan het compliance-personeel hebben opgedragen zich te richten op groei, waarbij hij suggereerde dat het bedrijf gewoon een boete zou kunnen betalen mochten toezichthouders ooit ingrijpen.

Leidinggevenden schrapten vervolgens een standaardbeleid ter voorkoming van fraude, waarin werd vereist dat opnames moesten worden teruggestort naar dezelfde betaalbron die voor stortingen was gebruikt. Ondanks waarschuwingen van het personeel dat het schrappen van deze beperking witwassen in de hand zou werken, werd de wijziging van de regel doorgevoerd.

Het incident leidde tot het vertrek van de leidinggevenden op het gebied van risicobeheer van het platform, waaronder Andrew Clifford, de Chief Compliance Officer voor de VS, die in april ontslag nam na het indienen van een formele memo waarin tekortkomingen op het gebied van compliance werden geschetst. Justin Hertzberg, CEO van Polymarket US, werd ontslagen, terwijl ook de hoofden van de afdelingen Amerikaanse regelgeving en antiwitwasbeleid het bedrijf verlieten.

Beveiligingslekken en onderzoeken

De aanval op debetkaarten in februari ging later in het jaar gepaard met nog meer beveiligingsfouten. In juni maakten hackers misbruik van een externe leverancier om kwaadaardige code in de website van Polymarket te injecteren, waardoor bepaalde gebruikerssaldi direct werden gecompromitteerd. Een maand later stelde een fout in de accountregistratie aanvallers in staat om met gestolen persoonsgegevens bijna 500 bestaande accounts te kraken zonder inlogwachtwoorden. Polymarket stemde er later mee in om de getroffen gebruikers schadeloos te stellen.

De federale autoriteiten voeren de druk op het platform op. De Commodity Futures Trading Commission (CFTC) heeft een onderzoek ingesteld en medewerkers opgedragen om documentatie met betrekking tot de fraudeaanvallen en de interne afhandeling daarvan te bewaren. Polymarket wordt bovendien geconfronteerd met onderzoeken naar zijn marketingpraktijken door de gemeenteraad van New York, naast rechtszaken in meer dan een dozijn staten waarin wordt beweerd dat het bedrijf opereert als een gokonderneming zonder vergunning.

Polymarket hield vol dat zijn interne controles het probleem uiteindelijk onder controle hadden gekregen. In mei, nadat het aantal debetkaarten dat een enkele gebruiker aan een account kon koppelen was beperkt, wist het bedrijf de fraudecijfers terug te brengen tot het branchegemiddelde. Een daaropvolgend onderzoek door advocatenkantoor Sullivan & Cromwell concludeerde dat het bedrijf de geldende regels naleefde.

In een openbare verklaring verdedigde een woordvoerder van Polymarket de protocollen van het platform: „Ons kader voor marktintegriteit omvat processen om verdachte activiteiten op te sporen, te beoordelen en erop te reageren. Polymarket blijft zich inzetten voor het handhaven van nauwkeurige, eerlijke en transparante markten, terwijl het volledig meewerkt met toezichthouders en wetshandhavingsinstanties.”

Om het interne bestuur te versterken, heeft Polymarket voormalig FBI-agente Shauna Batista aangesteld om de onderzoeksafdeling te leiden, voormalig Amazon-CFO Warren Jenson aangetrokken en voormalig Uber-topman Travis Vanderzanden benoemd tot chief growth officer.

De toezichtmaatregelen komen op een moment dat Polymarket 1 miljard dollar aan financiering probeert op te halen bij een waardering van 21 miljard dollar, mede dankzij een toezegging van 300 miljoen dollar van 1789 Capital van Donald Trump Jr., terwijl het de basis legt voor een mogelijke beursgang.