Trong quá trình mở rộng tại Mỹ trong năm nay, Polymarket từng hứng chịu một vụ tấn công sử dụng trái phép nguồn tiền trị giá ít nhất 10 triệu USD. Kẻ tấn công dùng thẻ ghi nợ bị đánh cắp để nạp tiền vào nền tảng, đặt cược, rồi tìm cách chuyển tiền và khoản thu được sang các thẻ hoặc tài khoản ngân hàng khác do chúng kiểm soát. Sự việc cũng làm lộ những bất đồng trong nội bộ công ty về tốc độ tăng trưởng, chi phí tuân thủ và kiểm soát rủi ro.
Vụ việc xảy ra vài tháng sau khi nền tảng Polymarket tại Mỹ mở cửa cho những người dùng trong danh sách chờ. Đơn vị xử lý thanh toán Checkout.com từng từ chối hơn 80% tiền nạp vào Polymarket Mỹ mà họ xử lý, do nhận diện các giao dịch này là gian lận. Tỷ lệ giao dịch bị từ chối hoặc bị phát hiện gian lận thông thường trong ngành vào cùng thời điểm chỉ khoảng 1%. Sau đó, Visa yêu cầu Checkout.com siết kiểm soát đối với các khoản thanh toán liên quan đến Polymarket, còn đơn vị xử lý thanh toán yêu cầu nền tảng dự đoán này tăng cường hệ thống kiểm soát rủi ro.
Hiện chưa rõ trong tổng số ít nhất 10 triệu USD bị tìm cách chiếm đoạt, có bao nhiêu tiền thực sự được chuyển đi thành công. Một người nắm thông tin về vụ việc cho biết phần lớn các lần nạp tiền đều không thành công. Hoạt động tấn công được cho là do khoảng bảy người thực hiện, trong đó một người được cho là đã thử khoảng 4.000 lần nạp tiền riêng lẻ. Polymarket chưa công bố tổng thiệt hại thực tế.
CEO ưu tiên tăng trưởng, bộ phận tuân thủ lo rủi ro xử phạt
Bộ phận tuân thủ của Polymarket được cho là bất ngờ trước cách CEO Shayne Coplan xử lý sự việc. Những người am hiểu tình hình cho biết Coplan khi đó yêu cầu công ty ưu tiên tăng trưởng và để các khoản phạt tiềm tàng từ cơ quan quản lý xử lý sau. Người phát ngôn Polymarket nói công ty cam kết duy trì các thị trường công bằng, minh bạch và sẽ phối hợp với cơ quan quản lý cùng lực lượng thực thi pháp luật.
Theo người phát ngôn, khung bảo đảm tính toàn vẹn thị trường của công ty bao gồm các quy trình nhận diện, rà soát và xử lý hoạt động đáng ngờ. Tuy nhiên, vụ gian lận thẻ cũng khiến lượng yêu cầu rút tiền của người dùng hợp pháp bị dồn ứ, làm gia tăng áp lực lên đội ngũ tuân thủ.
Sau đó, ban lãnh đạo Polymarket hủy một yêu cầu rút tiền vốn được thiết kế để hạn chế hoạt động rửa tiền. Theo quy định này, tiền được nạp từ một nguồn thanh toán phải được rút về chính nguồn đó. Pháp luật không quy định rõ các nền tảng dự đoán phải áp dụng nguyên tắc này, nhưng ngân hàng và nhiều tổ chức tài chính thường sử dụng cơ chế tương tự. Khi quy định còn hiệu lực, tiền nạp từ thẻ ghi nợ bị đánh cắp thường không thể chuyển sang một thẻ ngân hàng khác không có dấu hiệu liên quan, qua đó thu hẹp khả năng dịch chuyển tiền.
Một số nhân viên cảnh báo việc hủy hạn chế này có thể làm tăng rủi ro rửa tiền và các hình thức tấn công khác. Các lãnh đạo công ty cho rằng những quy định hiện có vẫn đủ để giảm hoạt động bất thường. Đến tháng 5, sau khi triển khai các biện pháp như giới hạn số lượng thẻ ghi nợ mà mỗi người dùng có thể liên kết, tỷ lệ gian lận của Polymarket được cho là đã giảm về mức phổ biến trong ngành.
Biến động nhân sự giữa lúc mở rộng hoạt động tại Mỹ
Andrew Clifford, giám đốc tuân thủ tại Polymarket Mỹ, rời công ty vào tháng 4. Trước khi rời đi, ông đã gửi ban lãnh đạo một báo cáo chi tiết về các vấn đề gian lận mà công ty phải đối mặt. Sau đó, CEO Polymarket Mỹ Justin Hertzberg bị sa thải. Người phụ trách hoạt động quản lý tại Mỹ và người đứng đầu mảng chống rửa tiền cũng lần lượt rời công ty.
Hãng luật Sullivan & Cromwell sau đó hoàn tất một cuộc điều tra. Một người nắm kết luận điều tra cho biết báo cáo nhận định Polymarket tuân thủ các yêu cầu quản lý liên quan. Tuy nhiên, công ty chưa công bố toàn văn báo cáo và cũng không tiết lộ toàn bộ các vấn đề nằm trong phạm vi điều tra.
Đợt thay đổi nhân sự diễn ra khi Polymarket chuẩn bị cho khả năng phát hành cổ phiếu lần đầu ra công chúng và một vòng huy động vốn mới. Sau đó, công ty bổ nhiệm Warren Jenson làm giám đốc tài chính đầu tiên. Jenson từng giữ chức giám đốc tài chính của Amazon trong khoảng hai năm rưỡi, bắt đầu từ tháng 9/1999. Kể từ tháng 5, Polymarket cũng bổ sung nhân sự quản trị rủi ro, đồng thời cải thiện quy trình tuân thủ và kiểm thử sản phẩm.
Gần 500 tài khoản bị ảnh hưởng bởi lỗ hổng đăng ký
Cuối tháng 7, một vụ tấn công khác ảnh hưởng đến gần 500 người dùng Polymarket. Kẻ tấn công dường như đã lợi dụng lỗ hổng trong quy trình đăng ký tài khoản. Nếu sử dụng thông tin cá nhân của một khách hàng hiện hữu, trong đó có số an sinh xã hội bị đánh cắp, để đăng ký tài khoản mới, kẻ gian có thể truy cập trực tiếp vào tài khoản của khách hàng đó mà không cần biết tên người dùng và mật khẩu. Những tài khoản này có thể đã liên kết với tài khoản ngân hàng và thẻ ghi nợ.
Một người nắm thông tin về sự việc cho biết số tiền bị đánh cắp tương đối nhỏ nhưng không đưa ra con số cụ thể. Người phát ngôn Polymarket nói công ty sẽ chịu trách nhiệm đối với tổn thất của người dùng. Tuy nhiên, phản hồi của những người dùng được liên hệ và các trao đổi trên Discord cho thấy một số người mất hàng nghìn USD, trong khi một số yêu cầu hỗ trợ gửi đến bộ phận chăm sóc khách hàng của Polymarket không được trả lời trong nhiều tuần.
Đối với các nền tảng dự đoán, tác động của hai sự việc không chỉ nằm ở khoản tiền mất trực tiếp. Các vấn đề còn liên quan đến xác minh thanh toán, chiếm quyền kiểm soát tài khoản, giới hạn rút tiền và tốc độ phản hồi khách hàng. Khi mở rộng quy mô người dùng, nền tảng phải đồng thời chứng minh rằng các giao dịch mới được nhận diện chính xác và người dùng hợp pháp không bị kẹt trong quy trình kiểm soát rủi ro quá lâu.
Điều tra của CFTC diễn ra song song với kế hoạch gọi vốn
Ủy ban Giao dịch Hàng hóa Tương lai Mỹ (CFTC) đang điều tra Polymarket. Trước đó, người phát ngôn của cơ quan này cho biết CFTC không thể xác nhận hoặc phủ nhận sự tồn tại của một cuộc điều tra. Nhân viên Polymarket đã được yêu cầu lưu giữ các hồ sơ liên quan đến vụ gian lận và những vấn đề khác.
Công ty trước đó cũng bị chú ý vì các hoạt động tiếp thị. Các nội dung điều tra cho thấy Polymarket từng trả tiền cho những người sáng tạo nội dung để mô phỏng việc đặt cược và chiến thắng trên các website giả mạo. Sau đó, hai thượng nghị sĩ Mỹ thuộc hai đảng khác nhau yêu cầu CFTC điều tra. Polymarket tiếp theo đã tái cơ cấu đội ngũ tiếp thị. Những vấn đề này, cùng với các câu hỏi mới về thanh toán và an ninh tài khoản, khiến công ty phải giải trình nhiều hơn về quản lý, tính toàn vẹn thị trường và bảo vệ người dùng.
Trong bối cảnh đó, Polymarket đang tìm cách huy động khoảng 1 tỷ USD với mục tiêu định giá khoảng 21 tỷ USD. 1789 Capital, quỹ thuộc Donald Trump Jr., được cho là dự kiến đầu tư khoảng 300 triệu USD, sau khi đã rót khoảng 200 triệu USD trước đó. Trump Jr. là thành viên hội đồng cố vấn của Polymarket và đồng thời là cố vấn chiến lược của đối thủ Kalshi. Tháng 6, Coplan cũng thảo luận với đồng sáng lập 1789 Capital Omeed Malik về công tác chuẩn bị cho khả năng Polymarket tiến hành IPO vào năm 2027.
Người phát ngôn Polymarket cho biết công ty hài lòng với đội ngũ lãnh đạo mới và việc liên tục nâng cấp hạ tầng, đồng thời sẽ tiếp tục cải thiện hoạt động trong quá trình mở rộng nhanh. Với người dùng và các nhà đầu tư tiềm năng, những vấn đề còn cần được làm rõ gồm quy mô thiệt hại thực tế, tình trạng khắc phục lỗ hổng tài khoản, khả năng CFTC có hành động tiếp theo, cũng như việc các quy định về rút tiền và chống gian lận có được thực thi ổn định hay không.