A Polymarket enfrentou um ataque de fraude com cartões de pagamento envolvendo pelo menos 10 milhões de dólares enquanto acelerava a expansão nos Estados Unidos este ano. O caso expôs a tensão entre o rápido crescimento da base de utilizadores, os custos de conformidade e os controlos da plataforma. Os atacantes utilizaram cartões de débito roubados para financiar contas, fazer apostas e tentar transferir depósitos e ganhos para outros cartões ou contas sob o seu controlo.
O incidente ocorreu alguns meses depois de a Polymarket ter aberto a sua plataforma norte-americana aos utilizadores que estavam numa lista de espera. A Checkout.com, processadora dos pagamentos, chegou a rejeitar mais de 80% dos depósitos processados para a Polymarket US, classificando as transações como fraudulentas. No mesmo período, a taxa habitual de chargebacks ou de identificação de fraude no setor era de cerca de 1%. Mais tarde, a Visa exigiu que a Checkout.com reforçasse os controlos antifraude aplicados aos pagamentos relacionados com a Polymarket, enquanto a processadora pressionou a operadora do mercado de previsões a fortalecer os seus próprios mecanismos de proteção.
Ainda não é claro quanto do montante tentado pelos atacantes chegou a sair da plataforma. Uma pessoa familiarizada com o caso afirmou que a maioria dos depósitos não foi concluída e que o ataque envolveu cerca de sete utilizadores. Um deles terá tentado realizar aproximadamente 4.000 depósitos separados. A Polymarket não divulgou as suas perdas financeiras efetivas.
Crescimento gerou tensão na equipa de conformidade
A equipa de conformidade da Polymarket terá ficado surpreendida com a resposta do presidente executivo, Shayne Coplan. Pessoas familiarizadas com as discussões disseram que Coplan orientou a empresa a dar prioridade ao crescimento e a lidar posteriormente com eventuais multas regulatórias. Um porta-voz afirmou que a Polymarket está empenhada em manter mercados justos e transparentes e que irá cooperar com reguladores e autoridades policiais.
O porta-voz acrescentou que o quadro de integridade de mercado da empresa inclui processos para identificar, analisar e resolver atividades suspeitas. Ainda assim, o ataque com cartões agravou o volume pendente de pedidos legítimos de levantamento, aumentando a pressão sobre a equipa de conformidade.
Mais tarde, a administração eliminou uma regra de levantamento destinada a limitar o branqueamento de capitais. Ao abrigo da política anterior, os fundos depositados através de uma determinada fonte de pagamento tinham de ser levantados para essa mesma fonte. Os mercados de previsões não são obrigados expressamente por lei a aplicar esta regra, mas bancos e outras instituições financeiras utilizam frequentemente controlos semelhantes. Quando a regra estava em vigor, os fundos depositados com um cartão de débito roubado normalmente não podiam ser transferidos para um cartão bancário diferente e legítimo, o que limitava a possibilidade de movimentar o dinheiro.
Alguns trabalhadores alertaram que a remoção da restrição poderia aumentar o risco de branqueamento de capitais e de outros ataques. Os executivos defenderam que as regras mantidas pela empresa eram suficientes para reduzir essas atividades. Em maio, depois de a Polymarket ter introduzido medidas como limites ao número de cartões de débito que cada utilizador podia associar à conta, a taxa de fraude comunicada pela empresa tinha descido para níveis habituais no setor.
Saída de executivos acompanhou expansão nos EUA
Andrew Clifford, diretor de conformidade da Polymarket US, deixou a empresa em abril. Antes da saída, apresentou à administração um relatório detalhado sobre os problemas de fraude enfrentados pelo negócio. Mais tarde, a Polymarket dispensou o seu presidente executivo nos Estados Unidos, Justin Hertzberg, enquanto também saíram os responsáveis pela área regulatória norte-americana e pelo programa de prevenção do branqueamento de capitais.
A sociedade de advogados Sullivan & Cromwell concluiu posteriormente uma investigação. Pessoas familiarizadas com as conclusões disseram que o relatório considerou que a Polymarket cumpria os requisitos regulatórios aplicáveis. A empresa não publicou o relatório completo nem divulgou todas as questões abrangidas pela investigação.
As mudanças na administração ocorreram enquanto a Polymarket se preparava para uma possível oferta pública inicial e para uma nova ronda de financiamento. A empresa nomeou entretanto o seu primeiro diretor financeiro, Warren Jenson, que foi diretor financeiro da Amazon durante cerca de dois anos e meio a partir de setembro de 1999. Desde maio, a Polymarket reforçou a equipa de gestão de risco e introduziu alterações nos processos de conformidade e nos testes dos produtos.
Falha no registo expôs quase 500 contas
Um ataque separado, ocorrido no final de julho, afetou quase 500 utilizadores da Polymarket. Os atacantes parecem ter explorado uma falha no processo de criação de contas. Uma pessoa que tentasse registar-se utilizando os dados pessoais de um cliente existente, incluindo um número de Segurança Social roubado, aparentemente conseguia entrar na conta desse cliente sem conhecer o nome de utilizador ou a palavra-passe originais. A partir daí, podia aceder às contas bancárias e aos cartões de débito associados.
Uma pessoa familiarizada com o incidente afirmou que o montante roubado era relativamente pequeno, mas não indicou um valor. O porta-voz da Polymarket disse que a empresa cobriria as perdas dos utilizadores. No entanto, utilizadores contactados sobre o caso e mensagens publicadas no Discord indicaram que algumas perdas chegaram a vários milhares de dólares. Alguns pedidos de ajuda enviados à equipa de apoio ao cliente da Polymarket ficaram sem resposta durante semanas.
Para as plataformas de mercados de previsões, as consequências dos dois incidentes vão além das perdas financeiras diretas. Os casos levantam questões sobre a verificação de pagamentos, a apropriação indevida de contas, as restrições aos levantamentos e a rapidez do apoio ao cliente. À medida que a plataforma aumenta a sua base de utilizadores, terá de demonstrar que consegue analisar novas transações com precisão sem deixar clientes legítimos impedidos de levantar fundos durante períodos prolongados devido a atrasos na conformidade.
CFTC mantém investigação enquanto avançam planos de financiamento
A Commodity Futures Trading Commission (CFTC), entidade norte-americana que supervisiona os mercados de derivados, está a investigar a Polymarket. Um porta-voz da comissão tinha afirmado anteriormente que a agência não podia confirmar nem negar a existência de uma investigação. Os trabalhadores da Polymarket foram instruídos a preservar registos relacionados com o ataque de fraude e com outras questões.
A empresa também tem sido alvo de escrutínio pelas suas atividades de marketing. Uma investigação concluiu que a Polymarket pagou a criadores de conteúdos para simular apostas e ganhos em sites imitadores. Dois senadores norte-americanos de partidos diferentes pediram depois à CFTC que investigasse o assunto, e a Polymarket reorganizou a sua equipa de marketing. Estes problemas, juntamente com as questões agora divulgadas sobre pagamentos e segurança das contas, ampliaram os temas que a empresa terá de resolver nas áreas da regulação, integridade de mercado e proteção dos clientes.
Neste contexto, a Polymarket procura cerca de mil milhões de dólares em financiamento, com uma avaliação-alvo próxima dos 21 mil milhões de dólares. A 1789 Capital, de Donald Trump Jr., estará a planear investir cerca de 300 milhões de dólares, depois de ter aplicado anteriormente aproximadamente 200 milhões. Trump Jr. integra o conselho consultivo da Polymarket e é também consultor estratégico da plataforma concorrente Kalshi. Em junho, Coplan discutiu com Omeed Malik, cofundador da 1789 Capital, os preparativos da empresa para uma possível oferta pública inicial em 2027.
Um porta-voz da Polymarket afirmou que a empresa está satisfeita com a nova equipa de gestão e com a continuidade das atualizações da infraestrutura, acrescentando que irá melhorar as operações enquanto prossegue a expansão. Para os utilizadores e potenciais investidores, permanecem em aberto questões concretas: qual foi o valor efetivo das perdas, se a falha nas contas foi corrigida, se a CFTC tomará novas medidas e se a plataforma consegue aplicar de forma consistente as regras de levantamento e de combate à fraude.