Звіт: Компанія Polymarket проігнорувала попередження під час шахрайської атаки на суму 10 млн доларів

Високий рівень відхилень спровокував жорсткі заходи з боку платіжного оператора

Стартап ринку прогнозів Polymarket стикається зі звинуваченнями в тому, що він ставив розширення користувацької бази та агресивне зростання вище за заходи з дотримання нормативних вимог, коли зловмисники націлилися на його американську платформу, намагаючись вивести щонайменше 10 мільйонів доларів за допомогою вкрадених дебетових карток.

Зловмисники прив’язували викрадені платіжні картки до облікових записів, робили ставки та намагалися зняти готівку, щоб «відмити» рахунки або окремі картки, що перебували під їхнім контролем. В одному випадку з одного облікового запису користувача було зроблено приблизно 4 000 окремих спроб поповнення рахунку.

Стрімке зростання незаконної діяльності спричинило автоматичне втручання платіжного оператора Checkout.com, який почав відхиляти депозити. У розпал кризи Checkout.com відхилив понад 80 % оброблених Polymarket депозитів як шахрайські, що значно перевищило стандартний для галузі рівень шахрайства, який становить приблизно 1 %.

Згідно з повідомленням «Wall Street Journal», співробітники Polymarket терміново попередили генерального директора Шейна Коплана про небезпеку, коли кількість відхилених платежів зростала. Замість того, щоб уповільнити операції для посилення заходів боротьби з відмиванням грошей, Коплан, як повідомляється, доручив співробітникам відділу комплаєнсу зосередитися на зростанні, припустивши, що компанія може просто сплатити штраф, якщо регулятори коли-небудь втрутяться.

Після цього керівництво скасувало стандартну політику запобігання шахрайству, яка вимагала, щоб кошти при виведенні поверталися на те саме джерело платежу, що й використовувалося для поповнення рахунку. Незважаючи на застереження співробітників про те, що скасування цього обмеження сприятиме відмиванню грошей, зміна правил відбулася.

Цей інцидент став причиною відставки керівників вищого рівня, відповідальних за управління ризиками, зокрема головного спеціаліста з питань дотримання нормативних вимог у США Ендрю Кліффорда, який подав у відставку у квітні після того, як надіслав офіційну записку, в якій виклав недоліки у сфері дотримання нормативних вимог. Джастіна Герцберга, генерального директора Polymarket US, було звільнено, а керівники підрозділів з питань регулювання та боротьби з відмиванням грошей у США також залишили компанію.

Прогалини в системі безпеки та розслідування

Лютнева атака на дебетові картки супроводжувалася додатковими порушеннями безпеки пізніше того ж року. У червні хакери скористалися стороннім постачальником, щоб ввести шкідливий код на веб-сайт Polymarket, що безпосередньо поставило під загрозу баланси деяких користувачів. Через місяць недолік у системі реєстрації облікових записів дозволив зловмисникам, озброєним викраденими персональними даними, отримати доступ до майже 500 існуючих облікових записів без паролів для входу. Пізніше Polymarket погодилася відшкодувати збитки постраждалим користувачам.

Федеральні органи посилюють тиск на платформу. Комісія з торгівлі товарними ф’ючерсами (CFTC) розпочала розслідування, доручивши співробітникам зберегти документи, пов’язані з шахрайськими атаками та внутрішніми процедурами забезпечення дотримання вимог. Polymarket також стикається з розслідуваннями щодо своїх маркетингових практик з боку міської ради Нью-Йорка, а також з судовими позовами у понад десятку штатів, в яких компанію звинувачують у діяльності як неліцензованого грального підприємства.

Polymarket стверджувала, що її внутрішні механізми контролю зрештою дозволили вирішити проблему. До травня, після обмеження кількості дебетових карток, які один користувач міг прив’язати до рахунку, компанія знизила рівень шахрайства до середніх показників у галузі. Подальше розслідування, проведене юридичною фірмою Sullivan & Cromwell, дійшло висновку, що компанія дотримувалася чинних правил.

У публічній заяві речник Polymarket захистив протоколи платформи: «Наша система забезпечення цілісності ринку включає процеси виявлення, перевірки та реагування на підозрілу діяльність. Polymarket і надалі прагне підтримувати точні, справедливі та прозорі ринки, одночасно повністю співпрацюючи з регуляторними органами та правоохоронними органами».

З метою зміцнення внутрішнього управління Polymarket найняла колишню агентку ФБР Шауну Батісту на посаду керівниці слідчого підрозділу, залучила колишнього фінансового директора Amazon Уоррена Дженсона та призначила колишнього керівника Uber Тревіса Вандерзандена на посаду директора з розвитку.

Регуляторна перевірка відбувається на тлі того, як Polymarket прагне залучити 1 млрд доларів фінансування при оцінці компанії в 21 млрд доларів, що частково забезпечується зобов’язанням на суму 300 млн доларів від компанії 1789 Capital, що належить Дональду Трампу-молодшому, оскільки компанія готує ґрунт для потенційного первинного публічного розміщення акцій.