Polymarketは米国事業の拡大過程で、少なくとも1000万ドルに上る不正決済攻撃を受けていた。攻撃者は盗難されたデビットカードで入金・賭けを行い、その資金や利益を自らが管理する別の銀行カードや口座へ移そうとした。急速な成長を優先する姿勢と、コンプライアンスやリスク管理への投資をめぐる社内の意見の違いも浮き彫りになっている。
この問題は、Polymarketの米国プラットフォームが待機リスト登録者に開放されてから数カ月後に発生した。同社の決済処理会社Checkout.comは一時、Polymarket米国向け預金の80％超を不正取引と判定し、処理を拒否していた。業界で一般的な拒否・不正検知率は約1％とされる。Visaはその後、Checkout.comに対し、Polymarket関連の不正決済に対する管理を強化するよう求め、同社もPolymarketにリスク管理の強化を要請した。
少なくとも1000万ドルとされる不正送金の試みのうち、実際にどれだけの資金が持ち出されたかは明らかになっていない。事情を知る人物によると、大半の入金試行は成功せず、攻撃には約7人のユーザーが関与していた。そのうち1人は、約4000件の個別入金を試みたとされる。Polymarketは実損額を公表していない。
成長を優先する経営方針とコンプライアンス部門の懸念
Polymarketのコンプライアンス部門は、CEOのShayne Coplan氏の対応方針に驚きを示していた。関係者によると、Coplan氏は当時、成長を優先し、規制当局から科される可能性のある制裁金への対応は後回しにするよう求めたという。これに対し同社の広報担当者は、公正で透明な市場の維持に取り組み、規制当局や法執行機関と協力していくと説明した。
広報担当者は、同社の市場健全性の枠組みには、不審な活動を特定し、審査・対応する手続きが含まれると述べた。ただ、不正決済攻撃によって正規ユーザーの出金依頼も滞留し、コンプライアンス部門の負担はさらに増した。
その後、Polymarketの経営陣は、マネーロンダリング抑止を目的としていた出金条件の一つを撤廃した。従来は、ある決済手段から入金した資金を、同じ決済手段へ出金する必要があった。予測市場が法律上このルールを明確に義務付けられているわけではないが、銀行やその他の金融機関では一般的な仕組みだ。ルールが維持されていれば、盗難デビットカードから入金された資金を別の「クリーンな」銀行カードへ移すことは通常できず、資金移動の余地を狭められる。
一部の従業員は、この制限を撤廃すればマネーロンダリングや別の攻撃のリスクが高まる可能性があると警告した。一方、経営陣は既存の他のルールで関連行為を抑制できると判断した。デビットカードの登録枚数を制限するなどの対策を導入した結果、5月までにはPolymarketの不正率が業界で一般的な水準まで低下したとされる。
米国事業の拡大中に相次いだ幹部の退任
Polymarketの米国最高コンプライアンス責任者だったAndrew Clifford氏は4月に退任した。退任前、同氏は同社が抱える不正問題を詳しく説明した報告書を経営陣に提出していた。その後、米国CEOのJustin Hertzberg氏が解任され、米国の規制業務責任者とマネーロンダリング対策責任者も相次いで会社を離れた。
法律事務所のSullivan & Cromwellは、その後に社内調査を完了した。調査結果を知る人物によると、報告書はPolymarketが関連する規制要件を満たしていると判断した。ただし、同社は報告書全文を公開しておらず、調査対象となったすべての事項も明らかにしていない。
この経営陣の交代は、Polymarketが新規株式公開（IPO）や新たな資金調達の可能性に備えていた時期に行われた。同社はその後、初めて最高財務責任者（CFO）を任命し、Warren Jenson氏を起用した。Jenson氏は1999年9月から約2年半、AmazonのCFOを務めた経歴を持つ。Polymarketは5月以降、リスク管理担当者を増員し、コンプライアンス手続きとプロダクトテストも改善している。
約500口座に登録プロセスの脆弱性
7月末には、別の攻撃がPolymarketの約500ユーザーに影響を及ぼした。攻撃者は、既存顧客の個人情報や盗まれた社会保障番号を使って新規口座の登録を試みる際、登録手続きの脆弱性を悪用したとみられる。攻撃者は元のユーザー名やパスワードを知らなくても顧客口座に直接アクセスし、登録済みの銀行口座やデビットカードを利用できた可能性がある。
事情を知る人物によると、盗まれた金額は比較的小さかったが、具体的な金額は明らかにされていない。Polymarketの広報担当者は、ユーザーが被った損失を同社が負担すると説明した。一方、調査に応じたユーザーやDiscord上の投稿によると、損失が数千ドルに達したユーザーもいた。Polymarketのカスタマーサポートに寄せた問い合わせの一部は、数週間にわたって回答されなかったという。
予測市場プラットフォームにとって、今回の2件が示す問題は直接的な資金損失だけではない。決済認証、口座乗っ取り、出金制限、顧客対応の速度が同時に問われている。利用者を増やす過程では、新たな取引を正確に識別するだけでなく、正規ユーザーの出金がリスク管理上の滞留によって長期間止まらない仕組みも必要になる。
CFTCの調査と大型資金調達を並行
米商品先物取引委員会（CFTC）はPolymarketを調査している。同委員会の広報担当者は以前、調査の有無について確認も否定もできないと述べていた。Polymarketの従業員には、今回の不正決済攻撃やその他の事項に関する記録を保存するよう指示が出されている。
同社はマーケティング活動をめぐっても注目を集めていた。調査では、Polymarketがコンテンツ制作者に報酬を支払い、模倣サイト上で賭けや勝利を演出させていたことが判明した。その後、異なる政党に所属する米上院議員2人がCFTCに調査を求め、Polymarketはマーケティング部門を再編した。これらの問題に、今回明らかになった決済と口座セキュリティの問題が重なり、同社が規制、市場の健全性、ユーザー保護について説明すべき事項は増えている。
こうした状況の中、Polymarketは約10億ドルの資金調達を目指しており、想定評価額は約210億ドルとされる。Donald Trump Jr.氏が運営する1789 Capitalは約3億ドルを出資する計画とされ、同社はこれまでに約2億ドルを投資している。Trump Jr.氏はPolymarketの諮問委員会メンバーである一方、競合するKalshiの戦略顧問も務めている。6月にはCoplan氏が、1789 Capitalの共同創業者であるOmeed Malik氏と、Polymarketが2027年にIPOを実施する可能性を見据えた準備について協議した。
Polymarketの広報担当者は、新たに就任した経営陣と継続的に強化しているインフラに満足しており、急速な拡大と並行して運営体制を改善していくと説明した。ユーザーや潜在的な投資家にとっては、実際の損失額、口座登録の脆弱性が修正されたか、CFTCが追加措置を取るか、そして出金・不正対策のルールを安定して運用できるかが、引き続き具体的な確認点となる。