Polymarket war während seiner Expansion in den USA mit Betrugsversuchen über mindestens 10 Millionen US-Dollar konfrontiert. Angreifer nutzten gestohlene Debitkarten, um Konten aufzuladen, Wetten zu platzieren und Einzahlungen sowie Gewinne auf andere von ihnen kontrollierte Karten oder Konten zu übertragen. Der Fall zeigt die Spannungen zwischen schnellem Nutzerwachstum, steigenden Compliance-Aufwendungen und den Kontrollsystemen der Plattform.
Der Vorfall ereignete sich mehrere Monate nachdem Polymarket seine US-Plattform für Nutzer auf der Warteliste geöffnet hatte. Der Zahlungsdienstleister Checkout.com lehnte zeitweise mehr als 80 Prozent der für Polymarket US verarbeiteten Einzahlungen als betrügerisch ab. Die branchenübliche Rate für Rückbuchungen oder erkannte Betrugsfälle lag im selben Zeitraum bei etwa 1 Prozent. Visa verpflichtete Checkout.com später, die Betrugskontrollen für Polymarket-bezogene Zahlungen zu verschärfen. Zugleich drängte der Zahlungsdienstleister den Betreiber des Prognosemarkts, die eigenen Schutzmaßnahmen auszubauen.
Wie viel Geld letztlich von der Plattform abfloss, ist weiterhin unklar. Eine mit dem Vorgang vertraute Person erklärte, die meisten der versuchten Einzahlungen seien gescheitert und der Angriff habe etwa sieben Nutzer betroffen. Einer von ihnen soll rund 4.000 einzelne Einzahlungen versucht haben. Polymarket hat seine tatsächlichen finanziellen Verluste nicht offengelegt.
Wachstumsziele sorgen im Compliance-Team für Spannungen
Die Reaktion von CEO Shayne Coplan auf den Vorfall überraschte das Compliance-Team. Mit den Gesprächen vertraute Personen berichteten, Coplan habe das Unternehmen angewiesen, dem Wachstum Priorität einzuräumen und mögliche regulatorische Geldbußen später zu klären. Ein Unternehmenssprecher erklärte dagegen, Polymarket bekenne sich zu fairen und transparenten Märkten und werde mit Aufsichts- und Strafverfolgungsbehörden zusammenarbeiten.
Nach Angaben des Sprechers umfasst das Rahmenwerk zur Marktintegrität Verfahren zur Erkennung, Prüfung und Bearbeitung verdächtiger Aktivitäten. Der Kartenbetrugsangriff führte dennoch zu einem Rückstau bei berechtigten Auszahlungsanträgen und erhöhte damit den Druck auf das Compliance-Team.
Das Management schaffte später eine Auszahlungsregel ab, die Geldwäsche begrenzen sollte. Nach der früheren Regel mussten Gelder, die über eine bestimmte Zahlungsquelle eingezahlt worden waren, an dieselbe Quelle zurücküberwiesen werden. Prognosemärkte sind gesetzlich nicht ausdrücklich verpflichtet, eine solche Vorgabe einzusetzen. Banken und andere Finanzinstitute nutzen jedoch häufig vergleichbare Kontrollen. Solange die Regel galt, konnten Gelder, die mit einer gestohlenen Debitkarte eingezahlt worden waren, in der Regel nicht auf eine andere, unbelastete Bankkarte übertragen werden. Dadurch war der Spielraum für die Weiterleitung des Geldes begrenzt.
Einige Mitarbeiter warnten, die Aufhebung der Beschränkung könne das Risiko von Geldwäsche und weiteren Angriffen erhöhen. Führungskräfte hielten dagegen, die verbleibenden Regeln reichten aus, um solche Aktivitäten einzudämmen. Bis Mai war die gemeldete Betrugsrate nach der Einführung weiterer Maßnahmen, darunter einer Begrenzung der Zahl verknüpfter Debitkarten pro Nutzerkonto, auf ein branchenübliches Niveau gesunken.
Führungswechsel während der US-Expansion
Andrew Clifford, Chief Compliance Officer von Polymarket US, verließ das Unternehmen im April. Vor seinem Weggang legte er dem Management einen ausführlichen Bericht über die Betrugsprobleme des Geschäfts vor. Später trennte sich Polymarket von seinem US-CEO Justin Hertzberg. Auch die Leiter der US-Regulierungsfunktion und des Anti-Geldwäsche-Programms schieden aus.
Die Kanzlei Sullivan & Cromwell schloss anschließend eine Untersuchung ab. Mit den Ergebnissen vertraute Personen erklärten, der Bericht sei zu dem Schluss gekommen, dass Polymarket die geltenden regulatorischen Anforderungen eingehalten habe. Das Unternehmen hat den vollständigen Bericht nicht veröffentlicht und auch nicht alle von der Untersuchung erfassten Sachverhalte offengelegt.
Die Veränderungen im Management fielen in eine Phase, in der Polymarket einen möglichen Börsengang und eine neue Finanzierungsrunde vorbereitete. Später ernannte das Unternehmen mit Warren Jenson seinen ersten Finanzvorstand. Jenson war ab September 1999 rund zweieinhalb Jahre lang Finanzchef von Amazon. Seit Mai hat Polymarket zusätzliche Mitarbeiter für das Risikomanagement eingestellt und seine Compliance-Prozesse sowie die Produkttests angepasst.
Sicherheitslücke betraf fast 500 Konten
Ein separater Angriff Ende Juli betraf fast 500 Polymarket-Nutzer. Die Angreifer scheinen eine Schwachstelle im Registrierungsprozess ausgenutzt zu haben. Wer sich mit den persönlichen Daten eines bestehenden Kunden registrierte, darunter offenbar auch mit einer gestohlenen Sozialversicherungsnummer, konnte demnach auf dessen Konto zugreifen, ohne den ursprünglichen Benutzernamen oder das Passwort zu kennen. Anschließend war der Zugriff auf verknüpfte Bankkonten und Debitkarten möglich.
Eine mit dem Vorfall vertraute Person bezeichnete den gestohlenen Betrag als vergleichsweise gering, nannte aber keine Summe. Der Polymarket-Sprecher erklärte, das Unternehmen werde die Verluste der Nutzer übernehmen. Von den betroffenen Nutzern geschilderte Fälle und Nachrichten auf Discord deuteten jedoch darauf hin, dass einzelne Schäden mehrere Tausend Dollar erreichten. Einige Hilfsanfragen an den Kundendienst blieben wochenlang unbeantwortet.
Für Plattformen für Prognosemärkte reichen die Folgen der beiden Vorfälle über die unmittelbaren finanziellen Verluste hinaus. Im Mittelpunkt stehen auch die Verifizierung von Zahlungen, Kontoübernahmen, Auszahlungsbeschränkungen und die Geschwindigkeit des Kundendienstes. Mit dem weiteren Ausbau der Nutzerbasis muss Polymarket zeigen, dass neue Transaktionen präzise geprüft werden können, ohne dass legitime Kunden wegen eines Rückstaus in der Compliance-Abteilung über längere Zeit nicht auf ihr Geld zugreifen können.
CFTC prüft Polymarket parallel zu Finanzierungsplänen
Die US-Aufsichtsbehörde Commodity Futures Trading Commission (CFTC) untersucht Polymarket. Ein Sprecher der Behörde hatte zuvor erklärt, die CFTC könne weder bestätigen noch dementieren, ob eine Untersuchung laufe. Mitarbeiter von Polymarket wurden angewiesen, Unterlagen im Zusammenhang mit dem Betrugsangriff und weiteren Sachverhalten zu sichern.
Zusätzliche Aufmerksamkeit galt den Marketingaktivitäten des Unternehmens. Eine Untersuchung ergab, dass Polymarket Content-Ersteller dafür bezahlt hatte, auf nachgeahmten Webseiten Wetten und Gewinne zu simulieren. Zwei US-Senatoren beider Parteien forderten die CFTC anschließend zu einer Untersuchung auf. Polymarket strukturierte daraufhin sein Marketingteam neu. Zusammen mit den nun bekannt gewordenen Problemen bei Zahlungen und Kontosicherheit erweitert dies die Themen, bei denen das Unternehmen Fragen zu Regulierung, Marktintegrität und Kundenschutz beantworten muss.
Vor diesem Hintergrund strebt Polymarket eine Finanzierung von rund 1 Milliarde US-Dollar bei einer Zielbewertung von etwa 21 Milliarden US-Dollar an. Donald Trump Jr.s Investmentgesellschaft 1789 Capital plant Berichten zufolge eine Investition von rund 300 Millionen US-Dollar, nachdem sie zuvor etwa 200 Millionen US-Dollar investiert hatte. Trump Jr. gehört dem Beirat von Polymarket an und ist zugleich strategischer Berater der konkurrierenden Plattform Kalshi. Im Juni sprach Coplan mit Omeed Malik, dem Mitgründer von 1789 Capital, über die Vorbereitungen des Unternehmens auf einen möglichen Börsengang im Jahr 2027.
Ein Polymarket-Sprecher erklärte, das Unternehmen sei mit dem neu besetzten Management und den laufenden Verbesserungen der Infrastruktur zufrieden. Die Abläufe würden während der raschen Expansion weiter angepasst. Für Nutzer und potenzielle Investoren bleiben insbesondere die tatsächliche Schadenshöhe, die Behebung der Kontosicherheitslücke, mögliche weitere Schritte der CFTC sowie die konsistente Anwendung der Auszahlungs- und Anti-Betrugsregeln offen.