Raport: Firma Polymarket zignorowała ostrzeżenia podczas ataku oszukańczego o wartości 10 mln dolarów

Wysoki odsetek odrzuconych transakcji wywołuje ostrą reakcję podmiotu obsługującego płatności

Startup z branży rynków prognoz, Polymarket, stoi w obliczu zarzutów, że przedkładał poszerzanie bazy użytkowników i agresywny wzrost nad zabezpieczenia zgodności z przepisami, gdy złośliwi aktorzy zaatakowali jego amerykańską platformę, próbując wyprowadzić co najmniej 10 milionów dolarów przy użyciu skradzionych kart debetowych.

Atakujący powiązali skradzione karty płatnicze z kontami, obstawiali zakłady i próbowali wypłacić gotówkę, aby „wyczyścić” konta lub oddzielić karty znajdujące się pod ich kontrolą. W jednym przypadku z jednego konta użytkownika podjęto około 4 000 oddzielnych prób wpłaty.

Gwałtowny wzrost nielegalnej aktywności spowodował automatyczną interwencję operatora płatności Checkout.com, który zaczął odrzucać wpłaty. W szczytowym momencie kryzysu Checkout.com odrzucił ponad 80% przetwarzanych przez Polymarket wpłat jako fałszywe, co znacznie przekracza standardowy w branży poziom oszustw wynoszący około 1%.

Według raportu „Wall Street Journal” pracownicy Polymarket zgłosili pilne sygnały ostrzegawcze dyrektorowi generalnemu Shayne’owi Coplanowi w miarę narastania liczby odrzuconych płatności. Zamiast spowolnić działalność w celu wzmocnienia kontroli przeciwdziałających praniu pieniędzy, Coplan rzekomo polecił pracownikom działu zgodności skupić się na rozwoju, sugerując, że firma mogłaby po prostu zapłacić grzywnę, gdyby organy regulacyjne kiedykolwiek interweniowały.

Kierownictwo zniosło wówczas standardową politykę zapobiegania oszustwom, wymagającą, aby wypłaty były zwracane na to samo źródło płatności, z którego pochodziły wpłaty. Pomimo ostrzeżeń pracowników, że zniesienie tego ograniczenia sprzyja praniu pieniędzy, zmiana zasad została wprowadzona.

Incydent ten spowodował odejście kierownictwa wyższego szczebla odpowiedzialnego za zarządzanie ryzykiem, w tym głównego specjalisty ds. zgodności w USA, Andrew Clifforda, który złożył rezygnację w kwietniu po przedłożeniu formalnej notatki opisującej uchybienia w zakresie zgodności z przepisami. Justin Hertzberg, dyrektor generalny Polymarket US, został zwolniony, a szefowie działów ds. regulacji w USA i przeciwdziałania praniu pieniędzy również opuścili firmę.

Luki w zabezpieczeniach i dochodzenia

Lutowemu atakowi na karty debetowe towarzyszyły kolejne uchybienia w zakresie bezpieczeństwa w dalszej części roku. W czerwcu hakerzy wykorzystali zewnętrznego dostawcę, aby wprowadzić złośliwy kod na stronę internetową Polymarket, co bezpośrednio naraziło salda niektórych użytkowników. Miesiąc później luka w procesie rejestracji kont umożliwiła atakującym, dysponującym skradzionymi danymi osobowymi, włamanie się do prawie 500 istniejących kont bez konieczności podawania haseł logowania. Polymarket zgodził się później na zwrot środków poszkodowanym użytkownikom.

Władze federalne zwiększają presję na platformę. Komisja ds. Handlu Kontraktami Terminowymi Towarowymi (CFTC) wszczęła dochodzenie, nakazując pracownikom zabezpieczenie dokumentacji związanej z atakami oszustw oraz wewnętrznymi procedurami zapewniania zgodności z przepisami. Polymarket musi również stawić czoła dochodzeniom w sprawie swoich praktyk marketingowych prowadzonym przez Radę Miasta Nowego Jorku, a także pozwom sądowym w kilkunastu stanach, w których zarzuca się jej prowadzenie działalności jako nielicencjonowanego przedsiębiorstwa hazardowego.

Polymarket utrzymywał, że jego wewnętrzne mechanizmy kontroli ostatecznie opanowały problem. Do maja, po wprowadzeniu ograniczenia liczby kart debetowych, które pojedynczy użytkownik mógł powiązać z kontem, firma obniżyła wskaźniki oszustw do poziomu średniej branżowej. Późniejsze dochodzenie przeprowadzone przez kancelarię prawną Sullivan & Cromwell wykazało, że firma przestrzegała obowiązujących przepisów.

W publicznym oświadczeniu rzecznik Polymarket bronił protokołów platformy: „Nasze ramy integralności rynku obejmują procesy wykrywania, weryfikacji i reagowania na podejrzaną aktywność. Polymarket pozostaje zaangażowany w utrzymywanie dokładnych, uczciwych i przejrzystych rynków, jednocześnie w pełni współpracując z organami regulacyjnymi i organami ścigania”.

Aby wzmocnić wewnętrzny system zarządzania, Polymarket zatrudnił byłą agentkę FBI Shaunę Batistę na stanowisko szefowej działu dochodzeniowego, pozyskał byłego dyrektora finansowego Amazona Warrena Jensona oraz mianował byłego dyrektora wykonawczego Ubera Travisa Vanderzandena na stanowisko dyrektora ds. rozwoju.

Kontrola organów regulacyjnych ma miejsce w momencie, gdy Polymarket stara się pozyskać 1 mld dolarów finansowania przy wycenie na 21 mld dolarów, częściowo dzięki zobowiązaniu w wysokości 300 mln dolarów ze strony 1789 Capital należącej do Donalda Trumpa Jr., przygotowując się jednocześnie do potencjalnej pierwszej oferty publicznej.