Relatório: A Polymarket ignorou os alertas durante um ataque fraudulento de US$ 10 milhões

Altas taxas de rejeição provocam ação repressiva contra processadora de pagamentos

A startup de mercado de previsão Polymarket enfrenta acusações de priorizar a expansão da base de usuários e o crescimento agressivo em detrimento das medidas de conformidade, quando criminosos atacaram sua plataforma nos EUA na tentativa de desviar pelo menos US$ 10 milhões usando cartões de débito roubados.

Os invasores vincularam cartões de pagamento roubados a contas, fizeram apostas e tentaram sacar dinheiro para “limpar” contas ou separar cartões sob seu controle. Em um caso, uma única conta de usuário fez cerca de 4.000 tentativas separadas de depósito.

O aumento repentino de atividades ilícitas levou à intervenção automatizada da processadora de pagamentos Checkout.com, que passou a rejeitar depósitos. No auge da crise, a Checkout.com rejeitou mais de 80% dos depósitos processados pela Polymarket como fraudulentos, excedendo em muito os níveis padrão de fraude do setor, que giram em torno de 1%.

De acordo com uma reportagem do Wall Street Journal, os funcionários da Polymarket alertaram urgentemente o CEO Shayne Coplan à medida que as rejeições de pagamentos aumentavam. Em vez de desacelerar as operações para reforçar os controles contra lavagem de dinheiro, Coplan teria instruído a equipe de conformidade a se concentrar no crescimento, sugerindo que a empresa poderia simplesmente pagar uma multa caso os órgãos reguladores viessem a intervir.

Os executivos, então, removeram uma política padrão de prevenção de fraudes que exigia que os saques fossem devolvidos à mesma fonte de pagamento usada para os depósitos. Apesar dos alertas da equipe de que a retirada da restrição favorecia a lavagem de dinheiro, a mudança na regra seguiu adiante.

O incidente provocou a saída da alta liderança de risco da plataforma, incluindo o diretor de conformidade nos EUA, Andrew Clifford, que renunciou em abril após enviar um memorando formal detalhando as deficiências de conformidade. Justin Hertzberg, CEO da Polymarket US, foi demitido, enquanto os chefes das áreas de regulamentação e combate à lavagem de dinheiro nos EUA também deixaram a empresa.

Falhas de segurança e investigações

O ataque aos cartões de débito ocorrido em fevereiro foi acompanhado por outras falhas de segurança no decorrer do ano. Em junho, hackers se valeram de um fornecedor terceirizado para injetar código malicioso no site da Polymarket, comprometendo diretamente os saldos de alguns usuários. Um mês depois, uma falha no registro de contas permitiu que invasores, munidos de dados pessoais roubados, violassem quase 500 contas existentes sem precisar de senhas de login. Posteriormente, a Polymarket concordou em reembolsar os usuários afetados.

As autoridades federais estão aumentando a pressão sobre a plataforma. A Comissão de Negociação de Futuros de Commodities (CFTC) iniciou uma investigação, instruindo seus funcionários a preservar registros relacionados aos ataques fraudulentos e ao tratamento interno de conformidade. A Polymarket também enfrenta inquéritos sobre suas práticas de marketing por parte da Câmara Municipal de Nova York, além de ações judiciais em mais de uma dúzia de estados, nas quais é acusada de operar como uma empresa de jogos de azar sem licença.

A Polymarket afirmou que seus controles internos acabaram por conter o problema. Em maio, após limitar o número de cartões de débito que um único usuário poderia vincular a uma conta, a empresa reduziu as taxas de fraude para os níveis médios do setor. Uma investigação posterior realizada pelo escritório de advocacia Sullivan & Cromwell concluiu que a empresa cumpriu as regras aplicáveis.

Em comunicado público, um porta-voz da Polymarket defendeu os protocolos da plataforma: “Nossa estrutura de integridade de mercado inclui processos para detectar, analisar e responder a atividades suspeitas. A Polymarket continua comprometida em manter mercados precisos, justos e transparentes, ao mesmo tempo em que coopera plenamente com os órgãos reguladores e as autoridades policiais.”

Para reforçar a governança interna, a Polymarket contratou a ex-agente do FBI Shauna Batista para liderar seu departamento de investigação, trouxe o ex-diretor financeiro da Amazon Warren Jenson e nomeou o ex-executivo da Uber Travis Vanderzanden como diretor de crescimento.

O escrutínio regulatório ocorre no momento em que a Polymarket busca levantar US$ 1 bilhão em financiamento com uma avaliação de US$ 21 bilhões, liderado em parte por um compromisso de US$ 300 milhões da 1789 Capital, de Donald Trump Jr., enquanto prepara o terreno para uma possível oferta pública inicial.