Polymarket столкнулась с атакой с использованием платёжных карт на сумму не менее $10 млн на фоне расширения работы в США. Инцидент показал, насколько сложно платформе одновременно быстро наращивать пользовательскую базу, финансировать комплаенс и поддерживать эффективные системы контроля. Злоумышленники использовали украденные дебетовые карты, чтобы пополнять счета, делать ставки и пытаться выводить депозиты и выигрыши на другие карты или счета под своим контролем.
Инцидент произошёл через несколько месяцев после открытия американской платформы Polymarket для пользователей из листа ожидания. В какой-то момент платёжный процессор Checkout.com отклонял более 80% депозитов, проходивших через Polymarket US, классифицируя их как мошеннические. Для сравнения, типичный уровень чарджбэков или выявления мошеннических операций в отрасли за тот же период составлял около 1%. Позднее Visa потребовала от Checkout.com ужесточить контроль мошенничества по платежам, связанным с Polymarket, а процессор призвал оператора рынка прогнозов усилить собственные меры защиты.
Сколько средств в итоге удалось вывести с платформы, остаётся неясным. Знакомый с ситуацией человек сообщил, что большая часть подозрительных депозитов не прошла, а атака затронула около семи пользователей. Один из них, предположительно, предпринял около 4 000 отдельных попыток пополнения. Polymarket не раскрыла фактический размер финансовых потерь.
Приоритет роста усилил давление на комплаенс
Команда Polymarket по комплаенсу была удивлена реакцией генерального директора Шейна Коплана на инцидент. По словам людей, знакомых с обсуждениями, Коплан распорядился сосредоточиться на росте компании, оставив возможные регуляторные штрафы на потом. Представитель Polymarket заявил, что компания привержена честным и прозрачным рынкам и будет сотрудничать с регуляторами и правоохранительными органами.
По словам представителя, система обеспечения целостности рынков Polymarket включает процедуры выявления, проверки и устранения подозрительной активности. Однако атака с использованием банковских карт увеличила очередь из легитимных запросов клиентов на вывод средств и усилила нагрузку на команду комплаенса.
Позднее руководство Polymarket отменило правило вывода средств, которое было направлено на ограничение отмывания денег. Согласно прежней политике, средства, внесённые с определённого платёжного источника, можно было вывести только на тот же источник. Закон прямо не обязывает рынки прогнозов применять такое правило, однако банки и другие финансовые организации широко используют аналогичные ограничения. Пока правило действовало, средства, внесённые с украденной дебетовой карты, как правило, нельзя было перевести на другую, не скомпрометированную банковскую карту, что ограничивало возможности перемещения денег.
Некоторые сотрудники предупреждали, что отмена ограничения может повысить риск отмывания денег и новых атак. Руководители компании считали, что оставшихся правил достаточно для снижения такой активности. К маю, после введения мер, включая лимит на число дебетовых карт, которые пользователь может привязать к аккаунту, заявленный уровень мошенничества снизился до показателей, характерных для отрасли.
Уход руководителей совпал с расширением в США
Эндрю Клиффорд, директор Polymarket US по комплаенсу, покинул компанию в апреле. Перед уходом он направил руководству подробный отчёт о проблемах с мошенничеством, с которыми столкнулся бизнес. Позднее Polymarket уволила генерального директора американского подразделения Джастина Херцберга. Компанию также покинули руководители американского регуляторного направления и программы по противодействию отмыванию денег.
После этого юридическая фирма Sullivan & Cromwell завершила расследование. Люди, знакомые с его результатами, сообщили, что в отчёте Polymarket была признана соответствующей применимым регуляторным требованиям. Компания не опубликовала полный документ и не раскрыла все вопросы, рассматривавшиеся в рамках расследования.
Кадровые изменения произошли в период подготовки Polymarket к возможному первичному размещению акций и новому раунду финансирования. Позднее компания назначила своего первого финансового директора — Уоррена Дженсона, который около двух с половиной лет занимал должность финансового директора Amazon, начиная с сентября 1999 года. С мая Polymarket расширила команду по управлению рисками, а также изменила процедуры комплаенса и тестирования продуктов.
Уязвимость при регистрации затронула почти 500 аккаунтов
Отдельная атака в конце июля затронула почти 500 пользователей Polymarket. Предположительно, злоумышленники воспользовались уязвимостью в процессе регистрации аккаунтов. Человек, пытавшийся зарегистрироваться с использованием персональных данных существующего клиента, включая украденный номер социального страхования, по всей видимости, мог получить доступ к его аккаунту без знания исходных имени пользователя и пароля. После этого злоумышленник мог получить доступ к привязанным банковским счетам и дебетовым картам.
Знакомый с инцидентом человек сообщил, что сумма похищенных средств была относительно небольшой, но не назвал конкретную цифру. Представитель Polymarket заявил, что компания возместит пользователям потери. При этом пользователи, рассказавшие об инциденте, и сообщения в Discord указывали, что в отдельных случаях ущерб достигал нескольких тысяч долларов. Некоторые обращения в службу поддержки Polymarket оставались без ответа неделями.
Для платформ рынков прогнозов последствия этих двух инцидентов выходят за рамки прямых финансовых потерь. Они затрагивают проверку платежей, захват аккаунтов, ограничения на вывод средств и скорость работы поддержки. По мере расширения пользовательской базы Polymarket должна показать, что способна точно проверять новые операции и при этом не оставлять добросовестных клиентов без доступа к средствам на длительный срок из-за очередей в комплаенсе.
CFTC изучает деятельность Polymarket на фоне планов по привлечению капитала
Комиссия по торговле товарными фьючерсами США (CFTC) расследует деятельность Polymarket. Ранее представитель комиссии заявил, что ведомство не может ни подтвердить, ни опровергнуть наличие расследования. Сотрудникам Polymarket было поручено сохранить документы, связанные с атакой на платёжные карты и другими вопросами.
Компания также столкнулась с проверками в связи с маркетинговой деятельностью. Расследование показало, что Polymarket платила создателям контента за имитацию ставок и выигрышей на сайтах-копиях. После этого два сенатора США, представляющие разные партии, попросили CFTC изучить ситуацию, а Polymarket реорганизовала маркетинговую команду. Эти вопросы вместе с недавно раскрытыми проблемами платежей и безопасности аккаунтов расширили круг задач компании в сфере регулирования, целостности рынков и защиты клиентов.
На этом фоне Polymarket привлекает около $1 млрд при целевой оценке примерно в $21 млрд. Фонд 1789 Capital, связанный с Дональдом Трампом — младшим, как сообщается, планирует инвестировать около $300 млн после предыдущих вложений примерно на $200 млн. Трамп — младший входит в консультативный совет Polymarket и одновременно является стратегическим советником конкурирующей платформы Kalshi. В июне Коплан обсуждал подготовку компании к возможному IPO в 2027 году с сооснователем 1789 Capital Омидом Маликом.
Представитель Polymarket заявил, что компания довольна недавно сформированной управленческой командой и продолжающейся модернизацией инфраструктуры, а также намерена совершенствовать операционные процессы по мере быстрого расширения. Для пользователей и потенциальных инвесторов ключевыми остаются вопросы о фактическом размере потерь, устранении уязвимости в регистрации, возможных дальнейших действиях CFTC и способности платформы последовательно применять правила вывода средств и защиты от мошенничества.