Polymarket po 10 mln. kortelių sukčiavimo tyrimo ir reformų

Polymarket vėl patyrė peržiūrą po pranešimo apie 10 mln. JAV dolerių vertės pavogtų kortelių schemą

Polymarket, gerai žinoma prognozių rinkų operatorė, atsidūrė naujoje kritikoje po rugsėjo 19 d. pranešimo, kuriame teigiama, kad sukčiai vasarį Polymarket US panaudojo pavogtų debeto kortelių duomenis ir bandė nelegaliai įnešti, prekiauti ir išsiimti apie 10 mln. JAV dolerių. Žiniasklaidoje minima suma aprašo sumą, kurią nusikaltėliai esą bandė pervesti per platformą, o ne patvirtintą klientų ar įmonės patirtą nuostolį.

Šis įvykis kelia naujų klausimų dėl mokėjimų rizikos, sąskaitų patikros ir rinkos vientisumo kripto susietose prognozių rinkose, veikiančiose tiek reguliuojamoje, tiek blokų grandine pagrįstoje aplinkoje. Toliau aptarsime, kas pranešta apie incidentą, kaip Polymarket reagavo operatyviai ir koks reguliacinis bei atitikties kontekstas formuoja įmonės JAV produktą Polymarket US (veikiantį per QCX).

Pagrindiniai pastebėjimai

• Žiniasklaidos pranešimai teigia, kad sukčiai vasarį Polymarket US bandė panaudoti pavogtas debeto korteles sumažinti mažiausiai 10 mln. JAV dolerių.
• Checkout.com, mokėjimų apdorotojas, kuris tuo metu tvarkė daugumą Polymarket kortelių įnašų, pranešama, kad atmetė daugiau nei 80% Polymarket US įnašų kaip sukčiavimą atitinkančius atvejus atakos piko metu, palyginus su pramonės norma apie 1%.
• Polymarket teigia, kad įdiegė griežtesnes kortelių kontrolės priemones ir pasamdė trečiosios šalies sukčiavimo prevencijos įrankius; vėliau pranešti sukčiavimo rodikliai sugrįžo link pramonės normų.
• Polymarket US veikia per QCX LLC, CFTC (JAV Prekybos ateities sandorių komisija) paskirtą sandorių biržą, kuriai taikomas JAV federalinis išvestinių finansinių priemonių reguliavimas.
• Įmonė išplėtė atitikties, tyrimų ir rizikos valdymo komandas ir neseniai paskyrė patyrusį finansų vadovą Warreną Jensoną finansų direktoriaus pareigoms.

Ką pranešimai sako apie vasario sukčiavimo bangą

Pasak Wall Street Journal ir šaltinių, kuriuos jis citavo, sukčiai susiejo pavogtas debeto korteles su tūkstančiais sąskaitų Polymarket US. Jie esą finansavo sąskaitas tomis kortelėmis, naudojo prognozių rinkų sandorius vertėms perkelti per platformą, o vėliau atsiimdavo lėšas atgal į korteles arba banko sąskaitas, kurias kontroliavo. Pranešta suma — apie 10 mln. JAV dolerių — aprašo bandytus pervedimus, ir vieši pranešimai, peržiūrėti šiai analizei, nepateikia galutinio, nepriklausomai patvirtinto sėkmingų išmokėjimų ar nuostolių skaičiaus.

Vienas reikšmingas pranešimo detalė buvo teigiamas atmetimo rodiklis, kurį pranešė mokėjimų apdorotojas Checkout.com. Journal rašė, kad Checkout.com laikinai atmetė daugiau nei 80% Polymarket US įnašų, kuriuos tvarkė tuo laikotarpiu, kaip sukčiavimo atvejus — gerokai didesnis atmetimo lygis nei įprasta prekybininkų patirtis. Checkout.com viešieji informaciniai šaltiniai nurodo, kad jis tiekia prekybininkams sukčiavimo balų ir sandorių filtravimo įrankius, tuo pačiu palikdamas galutinį priėmimo sprendimą prekybininkams pagal savo sąlygas. Checkout.com nėra paskelbęs specialaus viešo pareiškimo, patvirtinančio virš 80% skaičiaus konkrečiai Polymarket kontekste.

Vidiniai rūpesčiai ir tariamas generalinio direktoriaus pasakymas

Dabartiniai ir buvę darbuotojai Journal sakė, kad jie pranešė generaliniam direktoriui Shayne'ui Coplanui apie įtartinų mokėjimų bangą. Pranešime perduodamas tariamas jo atsakymas — "Tiesiog toliau auginkite ir sumokėkite baudą, jei reguliuotojai kada nors sužinos." Polymarket viešai nepatvirtino, kad Coplan pasakė šį pareiškimą. Įmonė teigia, kad ji turi procedūras įtartinai veiklai aptikti ir reaguoti bei bendradarbiauja su teisėsauga ir reguliavimo institucijomis.

Operatyvinės kontrolės įdiegtos kortelių sukčiavimui sustabdyti

Po vasario šuolio Polymarket, kaip pranešama, griežtino debeto kortelių kontrolę ir pasamdė trečiosios šalies sukčiavimo prevencijos teikėją Riskified. Veiksmai, apie kuriuos pranešta, apėmė apribojimą, kiek debeto kortelių viena sąskaita gali sujungti, ir automatinių rizikos sprendimų sistemų įdiegimą, kad įtartina veikla būtų patikrinta prieš patvirtinant. Šie veiksmai sutapo su praneštu sukčiavimo rodiklių mažėjimu link pramonės normų iki gegužės.

Riskified teikia mašininio mokymosi sukčiavimo balus ir prekybininkų sandorių kontrolės sprendimus, skirtus sumažinti grąžinimus ir ginčijamus sandorius. Nors Riskified vieši dokumentai aprašo paslaugą plačiai, įmonė nepaskelbė Polymarket specifinių metrikų.

Išmokėjimų maršrutizavimas ir finansinių nusikaltimų rizika

Pradinės priemonės, kurias esą ėmėsi Polymarket, apėmė kai kurių išmokėjimų priverstinį grąžinimą į tą patį mokėjimo šaltinį, kuriuo buvo finansuota sąskaita — tai įprasta mokėjimų kontrolės priemonė, skirta sutrikdyti pinigų plovimo kelius. Journal rašė, kad vėliau Polymarket sušvelnino tą apribojimą. Vidiniai šaltiniai, cituoti pranešime, kėlė susirūpinimą, kad šio šaltinio atitikimo atlaisvinimas padidino finansinių nusikaltimų riziką. Polymarket viešai pateiktas JAV taisyklių rinkinys, sertifikuotas balandį, suteikia biržai įgaliojimus riboti sąskaitas, priskirti klientams tik likvidacijos statusą ir imtis kitų veiksmų, kad apsaugotų klientus ir rinkos vientisumą.

Reguliacinis fonas: QCX, CFTC ir ankstesnės vykdomosios priemonės

Polymarket US veikia per QCX LLC, paskirtą sandorių biržą, registruotą JAV Prekybos ateities sandorių komisijoje (CFTC). QCX gavo paskyrimą 2025 m. liepą; dviejų platformų struktūra reiškia, kad JAV mažmeniniai klientai prekiauja per federaliniu mastu reguliuojamą biržą, o tarptautiniai vartotojai prieina atskirą blokų grandine pagrįstą produktą su kitomis taisyklėmis ir infrastruktūra.

Šis skirtumas yra reikšmingas, nes jis aiškiai įtraukia Polymarket US į federalinį išvestinių priemonių priežiūros lauką. Įmonė anksčiau 2022 m. susitarė su CFTC dėl neatitinkančių įvykių pagrindu siūlytų binarinių opcionų, sumokėjo 1,4 mln. JAV dolerių civilinę baudą ir nutraukė tam tikras rinkas. Wall Street Journal taip pat pranešė, kad CFTC tiria su vasario sukčiavimo incidentu susijusius klausimus; Polymarket darbuotojams esą nurodyta saugoti dokumentus. Iki paskutinio pranešimo datos naujo viešo CFTC vykdomojo pranešimo, konkrečiai adresuojančio vasario pavogtų kortelių kaltinimus, nebuvo, todėl bet koks pranešimas apie tyrimą turėtų būti traktuojamas kaip atvira tyrimo eiga.

Kongreso susidomėjimas

Taip pat Polymarket susidūrė su Kongreso priežiūra. Gegužės 22 d. Atstovų Rūmų komitetas priežiūrai ir vyriausybės reformai paprašė įmonės pateikti dokumentus apie tapatybės patvirtinimą, įtartinos veiklos nusiuntimus, geografinio prieigos apribojimus ir sąveiką su JAV institucijomis. Šis tyrimas daugiausia sutelkė dėmesį į vidinio prekiautojo piktnaudžiavimo ir informacijos saugumo klausimus ir prašė duomenų apie įtartinų veiklų ataskaitų skaičių ir jų išsprendimą nuo 2024 m. sausio 1 d.; jis nebuvo ribotas tik prie mokėjimo kortelių situacijos, apie kurią pranešta rugsėjį.

Įmonės reakcija: komandų ir įrankių stiprinimas

Polymarket viešai aprašė, kad nuo 2026 m. pradžios sustiprino vidines tyrimų, atitikties ir rizikos valdymo galimybes. Šio plėtros metu įmonė paskyrė Shana Bautistą, buvusią FBI tyrėją, pasaulinei tyrimų ir žvalgybos vadovei. Įmonė teigia, kad derina blokų grandinės analizę, mašininį mokymąsi ir prekybos stebėseną anomalijoms aptikti.

Polymarket rinkos vientisumo puslapis praneša, kad įmonė perdavė teisėsaugai daugiau nei 90 sąskaitų ir pateikė informaciją apie daugiau nei 315 piniginių — skaičiai, kuriuos įmonė paskelbė viešai, tačiau kurie neapsiriboja tik mokėjimo kortelių sukčiavimu. Federalinės institucijos pripažino bendradarbiavimą bent viename nesusijusiame byloje, susijusioje su tariamu vidiniu prekiautojo piktnaudžiavimu, susijusiu su slapta informacija; Pietinio Naujojo Jorko apygardos JAV prokuratūra paskelbė apie Polymarket bendradarbiavimą šiuo klausimu.

Vadovų įdarbinimai, kapitalo pritraukimas ir verslo kontekstas

Polymarket rugsėjo 10 d. paskyrė Warreną Jensoną savo pirmuoju finansų direktoriumi. Jensonas anksčiau ėjo vyresniojo finansų pareigūno pareigas didelėse įmonėse, įskaitant Amazon, Electronic Arts, Delta Air Lines ir Nielsen. Įmonė teigė, kad Jensonas prižiūrės finansus, kapitalo strategiją ir ilgalaikį planavimą. Pranešimai rodo, kad Polymarket rengiasi galimiems būsimems įmonės etapams, įskaitant galimą viešą akcijų emisiją, nors įmonė nėra pateikusi viešo IPO dokumento.

Finansavimo veikla buvo reikšminga: ICE, Niujorko vertybinių popierių biržos patronuojanti įmonė, atskleidė 600 mln. USD grynųjų investiciją kovo mėn., po ankstesnės 1 mlrd. USD investicijos 2025 m. Žiniasklaidos pranešimai apie Polymarket lėšų pritraukimą nurodė, kad įmonė siekė apie 1 mlrd. USD, vertinant apie 21 mlrd. USD, nors tokie svarstymai tuo metu nebuvo pateikti kaip formalus IPO dokumentas.

Kiti 2026 m. saugumo incidentai ir jų pasekmės

Mokėjimo kortelių sukčiavimas nebuvo vienintelis Polymarket saugumo iššūkis šiais metais. Birželį įmonė patvirtino, kad trečiosios šalies tiekėjas buvo pažeistas ir į frontend'ą tam tikriems vartotojams buvo įterptas kenksmingas kodas. Polymarket teigė pašalinusi paveiktą priklausomybę, suvaldžiusi incidentą ir planavusi atlyginti paveiktiems klientams. Vėliau blokų grandinės tyrėjai įvertino apie 3,1 mln. USD nuostolių per 11 piniginių, susijusių su tuo incidentu, o AMLBot pranešė, kad pavogtos lėšos buvo pervestos iš Polygon į Ethereum.

Atskirai pranešta apie liepos saugumo epizodą, paveikusį beveik 500 vartotojų, kai užpuolikiai pasinaudojo pavogta asmenine informacija, kad prisijungtų prie sąskaitų ir susietų mokėjimo priemones per inžinerinį silpnumą. Polymarket, kaip pranešama, sutiko kompensuoti paveiktų klientų nuostolius, nors vieši pareiškimai nesuteikė nepriklausomai patvirtinto bendro nuostolių skaičiaus už tą įvykį.

Pasekmės prognozių rinkoms ir kripto mokėjimams

Šie incidentai pabrėžia nuolatines rizikas, kylant, kai tradicinės mokėjimo sistemos susikerta su kripto orientuotomis arba blokų grandine veikiančiomis rinkomis. Pavogtų kortelių schemos išnaudoja silpnus vartotojų priėmimo kontrolės mechanizmus, sintetines tapatybes ir spragas sandorių stebėjime. Prognozių rinkos, leidžiančios prekiauti tikrais pinigais, todėl turi palaikyti sluoksniuotą apsaugą — grąžinimų mažinimą, stiprią KYC/AML praktiką, įrenginių identifikaciją, elgsenos analizę ir lėšų šaltinio kontrolę — kad sumažintų tiek tiesioginę finansinę riziką, tiek sisteminę rinkos manipuliacijos riziką.

Polymarket patirtis taip pat atspindi kompromisus, su kuriais įmonės susiduria subalansuodamos spartų vartotojų augimą ir griežtą sukčiavimo prevenciją. Agresyvios augimo strategijos gali padidinti atakos paviršių ir sukurti paskatas piktavaliams pasinaudoti mastu, o per daug griežtos kontrolės gali trukdyti teisėtiems vartotojams prieiti ir mažinti likvidumą.

Ką tai reiškia vartotojams ir platesnei kripto ekosistemai

Vartotojams šis įvykis primena stiprios sąskaitos higienos svarbą: naudoti unikalius, stiprius slaptažodžius, įjungti daugelio veiksnių autentifikavimą ir atidžiai stebėti kortelių bei banko išrašus dėl neteisėtų veiklų. Platformos taip pat turi aiškiai komunikuoti apie mokėjimų politiką, apribojimus dėl išmokėjimų maršrutizavimo ir atkūrimo procedūras, jei klientai nukentėtų nuo sukčiavimo.

Reguliuotojams ir vykdymo institucijoms šis incidentas parodo tarpsektorinio bendradarbiavimo svarbą — tarp mokėjimų apdorotojų, kripto platformų, blokų grandinės analizės įmonių ir teisėsaugos — siekiant atsekti lėšas, atgauti turtą, kai įmanoma, ir atgrasyti nuo būsimų schemų. Tai taip pat rodo, kad reguliuojamos JAV platformos, tokios kaip Polymarket US, veikiančios per QCX, sulauks didesnės priežiūros, kai atsiranda operatyvinių spragų ar saugumo incidentų.

Atsižvelgiant į ateitį

Polymarket teigia, kad ji sugriežtino kontrolę, įdiegė trečiųjų šalių sukčiavimo prevencijos įrankius, išplėtė tyrimų personalą ir bendradarbiauja su institucijomis. Ar šie žingsniai iš esmės sumažins nuolatines mokėjimų sukčiavimo grėsmes, priklausys nuo nuolatinės investicijos į sukčiavimo aptikimą, mokėjimų maršrutizavimo kontrolės gerinimo, tapatybės patikrinimo stiprinimo ir tolesnio bendradarbiavimo su mokėjimų apdorotojais bei reguliuotojais.

Kaip tęsiasi pranešimai ir kai bet kokie reguliaciniai ar vykdomieji veiksmai taps vieši, detalės bus svarbios rinkos dalyviams, atitikties komandoms ir investuotojams, stebintiems sukčiavimą, KYC/AML ir operacinį atsparumą kripto ir prognozių rinkų aplinkoje.