Rapport: Polymarket ignorerte advarsler under svindelangrepet på 10 millioner dollar

Høye avvisningsrater utløser innstramming fra betalingsformidler

Prediksjonsmarked-oppstartsselskapet Polymarket står overfor anklager om å ha prioritert brukervekst og aggressiv ekspansjon over etterlevelsessikringer da ondsinnede aktører gikk etter den amerikanske plattformen i et forsøk på å tappe minst 10 millioner dollar ved hjelp av stjålne debetkort.

Angriperne knyttet stjålne betalingskort til kontoer, plasserte veddemål og forsøkte å ta ut kontanter til «rene» kontoer eller separate kort under deres kontroll. I ett tilfelle gjennomførte én enkelt brukerkonto omtrent 4 000 separate innskuddsforsøk.

Økningen i ulovlig aktivitet utløste automatisk inngripen fra betalingsformidleren Checkout.com, som begynte å avvise innskudd. På høyden av krisen avviste Checkout.com mer enn 80 % av Polymarkets behandlede innskudd som svindel, langt over standard svindelnivåer i bransjen på rundt 1 %.

Ifølge en Wall Street Journal-rapport hevet Polymarket-ansatte akutte røde flagg overfor CEO Shayne Coplan etter hvert som betalingsavvisningene hopet seg opp. I stedet for å bremse driften for å styrke anti-hvitvasking-kontroller, skal Coplan ha instruert etterlevelsesstaben til å fokusere på vekst, og antydet at selskapet enkelt kunne betale en bot dersom tilsynsmyndigheter noen gang grep inn.

Ledelsen fjernet deretter en standard svindelforebyggende policy som krevde at uttak skulle tilbakeføres til samme betalingskilde som ble brukt ved innskudd. Til tross for ansattes advarsler om at det å fjerne begrensningen inviterte til hvitvasking, ble regelendringen gjennomført.

Hendelsen utløste avgangen til plattformens øverste risikoledergruppe, inkludert U.S. Chief Compliance Officer Andrew Clifford, som sa opp i april etter å ha levert et formelt notat som beskrev mangler i etterlevelse. Justin Hertzberg, CEO for Polymarket US, ble sagt opp, mens lederne for amerikansk regulering og anti-hvitvasking også forlot selskapet.

Sikkerhetsmangler og etterforskninger

Debetkortangrepet i februar ble fulgt av ytterligere sikkerhetsbrister senere på året. I juni utnyttet hackere en tredjepartsleverandør til å injisere ondsinnet kode på Polymarkets nettsted, noe som direkte kompromitterte visse brukersaldoer. En måned senere gjorde en svakhet i kontoregistreringen det mulig for angripere med stjålne personopplysninger å bryte seg inn i nær 500 eksisterende kontoer uten innloggingspassord. Polymarket gikk senere med på å refundere berørte brukere.

Føderale myndigheter øker presset på plattformen. Commodity Futures Trading Commission (CFTC) har startet en etterforskning og instruert ansatte om å bevare registre knyttet til svindelangrepene og intern håndtering av etterlevelse. Polymarket står også overfor spørsmål om markedsføringspraksisen sin fra New York City Council, i tillegg til søksmål i mer enn et dusin delstater som hevder at det opererer som et ulisensert gamblingforetak.

Polymarket hevdet at de interne kontrollene etter hvert fikk kontroll på problemet. Innen mai, etter å ha satt et tak på antall debetkort en enkelt bruker kunne knytte til en konto, brakte selskapet svindelratene ned til bransjegjennomsnitt. En påfølgende undersøkelse fra advokatfirmaet Sullivan & Cromwell konkluderte med at selskapet etterlevde gjeldende regler.

I en offentlig uttalelse forsvarte en Polymarket-talsperson plattformens protokoller: “Vårt rammeverk for markedsintegritet inkluderer prosesser for å oppdage, vurdere og reagere på mistenkelig aktivitet. Polymarket forblir forpliktet til å opprettholde nøyaktige, rettferdige og transparente markeder, samtidig som vi samarbeider fullt ut med tilsynsmyndigheter og rettshåndhevende etater.”

For å styrke intern styring ansatte Polymarket tidligere FBI-agent Shauna Batista til å lede etterforskningsenheten, hentet inn tidligere Amazon-CFO Warren Jenson, og utnevnte tidligere Uber-leder Travis Vanderzanden som chief growth officer.

Regulatorisk gransking kommer samtidig som Polymarket søker å hente inn 1 milliard dollar i finansiering til en verdsettelse på 21 milliarder dollar, delvis ledet av et tilsagn på 300 millioner dollar fra Donald Trump Jr.s 1789 Capital, mens selskapet legger grunnlaget for en mulig børsnotering.