Polymarket cumule les risques de conformité et de cybersécurité à mesure que sa croissance s'accélère

En février, un établissement partenaire chargé de traiter des paiements par carte de débit pour Polymarket US a alerté la société : une vague de fraudeurs avait envahi la plateforme. Des criminels auraient relié des cartes de débit volées à des comptes Polymarket US, placé des paris, puis retiré l'argent vers des comptes bancaires ou cartes "propres", dans une tentative de détournement d'au moins 10 millions de dollars. Le prestataire de paiement a conclu que plus de 80% des dépôts étaient frauduleux, un niveau sans commune mesure avec la norme du secteur, autour de 1%. D'après des sources internes, l'alerte a été remontée au directeur général Shayne Coplan. L'équipe conformité dit être restée stupéfaite par sa réaction, attribuée au dirigeant : "Continuez simplement à croître ; si les régulateurs y trouvent quelque chose, on paiera l'amende." Des salariés actuels et anciens indiquent que cette phrase, jusqu'ici non rapportée, illustre une stratégie axée sur l'expansion à tout prix. Selon des entretiens menés par The Wall Street Journal auprès d'employés actuels et anciens ainsi que d'investisseurs, l'entreprise, en forte croissance, a multiplié les efforts pour attirer utilisateurs et capitaux, tout en se heurtant à des lacunes de conformité, des contentieux et des défaillances logicielles. D'après des sources internes, le taux de fraude n'a plus atteint 80% après l'attaque de février, mais il est resté élevé pendant plusieurs mois. L'épisode a été suivi de départs de dirigeants et du lancement d'une enquête interne. D'anciens responsables de la Commodity Futures Trading Commission (CFTC), du Department of Justice et de l'Internal Revenue Service estiment que l'ampleur de la tentative et la réponse de Polymarket sont sans précédent dans les univers des matières premières comme des jeux d'argent. Ils soulignent qu'à la différence des places de marché de matières premières traditionnelles, Polymarket accepte directement des fonds de particuliers, ce qui accroît l'exposition aux attaques. Joe Konizeski, ancien avocat de la CFTC, résume : "Dans un environnement régulé, cela n'arrive tout simplement pas. Des professionnels gèrent les fonds des clients afin de s'assurer que l'origine et la destination des flux respectent la réglementation." Un porte-parole de Polymarket affirme que l'entreprise s'engage à maintenir des marchés "exactes, équitables et transparents", et qu'elle coopère avec régulateurs et forces de l'ordre : "Nos mécanismes d'intégrité de marché comprennent des processus de détection, de vérification et de traitement des activités suspectes." Sur le plan judiciaire, les fronts se multiplient. La CFTC a engagé une action en justice contre l'entreprise, et, selon des sources internes, Polymarket a demandé à ses employés de conserver les documents relatifs à l'attaque de fraude et à d'autres sujets. Le conseil municipal de New York mène une enquête large sur Polymarket et d'autres plateformes de marchés prédictifs. Plus de vingt traders ont aussi déposé plainte, dénonçant des pratiques commerciales trompeuses. Au niveau des États, plus d'une douzaine de procédures portent sur une question centrale : Polymarket et son concurrent Kalshi opèrent-ils comme des plateformes de jeu illégales, faute de licence ? L'issue de ces dossiers pourrait reconfigurer tout le secteur. Malgré l'empilement des risques, Shayne Coplan pousse l'organisation à maintenir un rythme de croissance soutenu. Il avance sur un tour de table d'un milliard de dollars qui valoriserait l'entreprise autour de 21 milliards de dollars. Le fonds 1789 Capital, lié à Donald Trump Jr., doit participer ; il aurait déjà investi environ 200 millions de dollars dans Polymarket. Polymarket dispose aussi d'un partenariat de données avec Dow Jones, maison mère de The Wall Street Journal. En parallèle, l'entreprise tente de se repositionner auprès des investisseurs et du public comme un acteur "mûr", focalisé sur une croissance durable. Des sources indiquent que depuis mai, Polymarket recrute progressivement des profils expérimentés en gestion des risques, dont un ancien agent du FBI, tout en renforçant les procédures de conformité et le testing produit. Fin juin, Coplan s'est rendu dans les Hamptons chez Omeed Malik, cofondateur de 1789 Capital, pour discuter d'une amélioration des processus internes avant une possible IPO l'an prochain ; Malik l'aurait incité à recruter davantage de cadres dirigeants. Polymarket a récemment nommé son premier directeur financier, Warren Jenson, ancien CFO d'Amazon au début des années 2000. À la suite d'une enquête du Wall Street Journal sur des opérations de paris via les réseaux sociaux, l'entreprise a réorganisé son équipe marketing et recruté le fondateur de Bird (trottinettes électriques) comme responsable de la croissance. D'autres employés du marketing impliqués dans ce projet ont quitté la société ou vu leur périmètre réduit. Un porte-parole assure : "Polymarket croît rapidement et progresse chaque jour. Nous sommes fiers de la nouvelle équipe dirigeante et d'une infrastructure continuellement améliorée, après avoir fait grandir notre activité à la croisée de la finance, de la technologie et de la culture, avec un engagement en faveur d'une croissance responsable." Âgé de 28 ans, Coplan est décrit par d'anciens salariés comme direct et autoritaire, avec des remontrances en open space. Les horaires tardifs étaient fréquents, ainsi que l'usage d'Adderall (stimulant du système nerveux central, substance contrôlée), selon plusieurs ex-employés. Ils évoquent aussi une pression constante sur les ingénieurs pour itérer sur une liste mouvante de fonctionnalités. Un enregistrement consulté par The Wall Street Journal, datant de juillet dernier, montre Coplan s'emportant lors d'un débat sur les litiges liés à l'issue de paris : "Mec, c'est ridicule ! C'est absurde que tu te plaignes sans arrêt de ça." Même après un accord avec les régulateurs fédéraux en 2022, Polymarket n'avait pas le droit de laisser des utilisateurs basés aux États-Unis accéder à sa plateforme internationale. En 2024, avec la montée en visibilité de Polymarket, deux agences fédérales ont ouvert une enquête pour déterminer si l'entreprise avait violé l'accord en permettant à des traders américains d'accéder au service. À la même période, un employé a installé au bureau une silhouette en carton grandeur nature de Sam Bankman-Fried, condamné pour fraude crypto, notamment parce que Coplan, autre milliardaire des cryptomonnaies, lui ressemblerait physiquement. Après l'interdiction de proposer la plateforme internationale aux Américains, Coplan a demandé aux équipes de préparer un retour sur le marché américain. Polymarket a préparé le terrain pour une application basée aux États-Unis et a négocié avec les régulateurs afin de clore les investigations en cours. L'été dernier, la société a déboursé 112 millions de dollars pour racheter une bourse disposant d'une licence et l'a rebaptisée Polymarket US. La version américaine a ouvert à des utilisateurs précoces en décembre. D'après des sources internes, un grand nombre de traders s'y sont rués et les dépôts cumulés ont dépassé 500 millions de dollars. Côté garde-fous AML, Polymarket US appliquait une règle standard sur les plateformes financières : les fonds déposés via un canal donné doivent être retirés via ce même canal. Sans cette contrainte, des acteurs malveillants peuvent déposer avec des cartes volées, réaliser des transactions, puis retirer les gains vers des comptes "nettoyés". Les règles fédérales n'obligent pas les marchés prédictifs à imposer cette exigence. D'autres acteurs, dont DraftKings et FanDuel, s'y conforment. Kalshi, principal concurrent, ne l'impose pas non plus, mais des sources affirment que Kalshi surveille les retraits multi-canaux et gèle les paiements suspects. Alerte fraude et retraits sous tension En janvier, le volume de trading de l'application américaine restait faible par rapport à la plateforme internationale : moins de 3 milliards de dollars de mises côté US, contre plus de 7,6 milliards de dollars à l'international. L'app étant en bêta et réservée à un nombre limité d'utilisateurs, Coplan cherchait à réduire au maximum les frictions, avec une priorité : des retraits rapides. Dès février, la communauté Discord de Polymarket s'est remplie de plaintes sur la lenteur des retraits. Les équipes répondaient que les fonds étaient en cours de traitement, tout en rappelant que des contrôles de conformité pouvaient retarder les paiements de plusieurs jours, voire semaines. Des problèmes d'ingénierie sur l'app US ont aggravé la situation. Avant l'élection municipale de New York en 2025, des publicités Polymarket sont apparues dans les rues de la ville. En février, Checkout.com a informé Polymarket d'une attaque : des fraudeurs reliaient des cartes de débit volées à des milliers de nouveaux comptes. D'après des personnes au fait du dossier, la plupart des tentatives de dépôt ont échoué et l'attaque provenait principalement de sept utilisateurs, dont l'un aurait tenté environ 4 000 dépôts. Checkout.com dit continuer de travailler avec Polymarket et n'a pas souhaité commenter l'incident ni la nature du partenariat. L'afflux a submergé l'équipe conformité et allongé la file d'attente des retraits. Selon des sources internes, la direction a décidé, pour accélérer le retour des fonds aux utilisateurs, de supprimer la règle de retrait par le même canal, malgré des alertes de certains salariés sur le risque de blanchiment. Les dirigeants estimaient que les protections existantes suffisaient. D'anciens procureurs fédéraux rappellent qu'un contrôle insuffisant du blanchiment peut exposer à des violations des lois fédérales AML, sur les transferts illégaux de fonds, voire sur la fraude bancaire. La CFTC et le Department of Justice ont déjà poursuivi plusieurs entreprises, dont des plateformes crypto, avec des sanctions pouvant atteindre des centaines de millions de dollars. Les exigences AML applicables à Polymarket resteraient toutefois relativement souples. Une source indique qu'Andrew Clifford, Chief Compliance Officer de Polymarket US, a démissionné après avoir remis en avril un rapport détaillé sur la fraude. Ni Clifford ni Polymarket n'ont commenté. À peu près au même moment, Polymarket a bouclé un tour de table d'un milliard de dollars, valorisant la société près de 15 milliards de dollars, avec notamment le fonds de Donald Trump Jr. Peu après, Polymarket a remercié le directeur général de sa division américaine, Justin Hertzberg, puis les responsables régionaux de la régulation et de l'AML sont partis. Hertzberg n'a pas répondu aux demandes de commentaire. Selon des sources proches du dossier, une enquête menée par le cabinet Sullivan & Cromwell a conclu que les opérations respectaient les exigences réglementaires. Une source ajoute qu'en mai, le taux de fraude était revenu vers des niveaux "normaux" grâce à une limitation du nombre de cartes de débit par compte et au déploiement d'un nouveau service de prévention de la fraude, Riskified. Fonctionnalités lancées trop vite et incidents clients Polymarket tente aussi de corriger les problèmes liés à des lancements accélérés de nouvelles fonctionnalités. D'anciens employés affirment que des mises à jour étaient souvent poussées aux utilisateurs sans tests suffisants. Lorsque des ingénieurs recommandaient de prioriser la correction de vulnérabilités existantes, Coplan leur aurait parfois demandé d'utiliser l'IA pour développer directement de nouvelles fonctionnalités. Des utilisateurs rapportent des pertes ou blocages : à New York, un homme dit avoir vu disparaître 950 dollars après un crash de l'app en juillet ; en Californie, une femme affirme que 1 500 dollars restent coincés et impossibles à retirer ; dans le Massachusetts, un utilisateur de 22 ans explique que son compte a été verrouillé et qu'après des dizaines de sollicitations, le support n'a pas répondu pendant des semaines. D'après des sources internes, Polymarket a indemnisé certains clients ; d'autres sont passés par leurs banques pour récupérer des transactions non autorisées. La société aurait renforcé son processus de revue de code et recruté davantage d'ingénieurs. Coplan a aussi encouragé le lancement de marchés prédictifs très médiatisés. Des SMS consultés par The Wall Street Journal montrent qu'il a un jour proposé des marchés du type : "Combien de fois Kanye mentionnera les Juifs sur X cette semaine ?" ou "Qui Elon va-t-il insulter ensuite ?". Ils n'ont finalement pas été lancés. En juin, l'entreprise a déposé une demande de marque pour "Create Your Own Market". D'anciens employés y voient un axe de croissance de long terme : permettre aux utilisateurs de créer librement des marchés de prédiction sur n'importe quel sujet. Rajiv Sethi, professeur d'économie à Barnard College et chercheur de longue date sur ces marchés, avertit que cette approche accroît les risques de manipulation. Stratégie de marque à coups de célébrités Polymarket a noué des partenariats avec des célébrités et figures du sport, dont la star NBA LeBron James. Coplan veut faire de Polymarket une marque grand public, en investissant massivement dans ces alliances et en signant une collaboration de 300 millions de dollars avec la Major League Baseball. Des sources internes indiquent que l'équipe de LeBron James avait auparavant déclaré à un concurrent que Polymarket proposait 20 millions de dollars par an, plus 50 millions de dollars en actions. Les termes définitifs de l'accord actuel ne peuvent être vérifiés. Les mêmes sources affirment que LeBron James ne détient pas d'actions Polymarket à ce jour. L'automne dernier, Polymarket a discuté d'un partenariat de plusieurs millions de dollars avec le musicien Drake. Le porte-parole de Polymarket et l'équipe de Drake confirment qu'aucun accord n'a été signé. Drake a ensuite mentionné Polymarket et Coplan dans son album *Iceman*. Coplan a assisté à une soirée privée de lancement dans une demeure de style château à Toronto. Fin avril, Polymarket a lancé un marché demandant si Drake prononcerait "Polymarket" dans son nouvel album. Un compte créé peu avant la sortie, uniquement actif sur des paris liés à l'album, a réalisé un profit de 7 800 dollars. Selon des sources et des données consultées, quelques heures avant la sortie, l'équipe de Drake a fait écouter l'album en avant-première à des employés de Polymarket ; en entendant le nom de l'entreprise, ces derniers ont retiré le marché en urgence en raison d'un risque de délit d'initié. Une personne impliquée dans les négociations estime que le retour sur investissement de ces partenariats est difficile à mesurer, mais que Coplan semblait peu préoccupé par l'équilibre financier : son objectif était de conclure. Lorsque des employés jugeaient l'offre trop élevée, il aurait répondu : "Je m'en fiche complètement." Des inquiétudes chez l'investisseur ICE Des dirigeants d'Intercontinental Exchange (ICE), principal investisseur de Polymarket, ont confié au Wall Street Journal leurs préoccupations sur plusieurs faux pas stratégiques. Une enquête publiée en juin a révélé que Polymarket avait rémunéré des influenceurs pour publier de fausses vidéos de trading et diffusé des publicités pour la plateforme offshore visant des utilisateurs américains. ICE et d'autres investisseurs craignent que ces pratiques contreviennent aux règles fédérales de publicité et à l'accord entre Polymarket et la CFTC, qui interdit d'offrir aux traders américains l'accès à la plateforme offshore. Fin juillet, ICE a indiqué dans son rapport trimestriel détenir 1,6 milliard de dollars d'actions Polymarket, soit 22% des actions en circulation. Nouvelle attaque fin juillet Fin juillet, près de 500 utilisateurs ont été touchés par une autre attaque, liée à une faille d'ingénierie. D'après des sources internes, des attaquants auraient pris le contrôle de comptes existants, ainsi que des comptes bancaires et cartes de débit associés, en créant de nouveaux comptes au nom de tiers via des données personnelles (dont des numéros de Social Security) sans avoir besoin ni d'un identifiant ni d'un mot de passe. Le montant total dérobé serait resté limité. Un porte-parole assure que l'entreprise indemnisera l'intégralité des pertes. Des utilisateurs disent avoir perdu plusieurs milliers de dollars, dans des entretiens et sur Discord, tout en affirmant n'avoir reçu aucune réponse du support pendant des semaines. Un employé de Polymarket a indiqué sur Discord en juillet que l'équipe d'ingénierie travaillait à résoudre les cas concernés. Dane Collins, 26 ans, explique avoir commencé à parier sur la Coupe du monde via Polymarket US en mai, Kalshi étant auparavant empêché par décision de justice d'offrir des paris sportifs dans son État du Michigan. En se reconnectant en juillet, il dit avoir constaté la liquidation de tous ses paris et le retrait de son profit de 5 783,51 dollars vers une carte de débit qui ne lui appartenait pas. Polymarket a crédité 25 dollars sur son compte, sans explication. Collins a déposé des signalements auprès de la police locale, du FBI et de la CFTC : "Polymarket US n'a pas répondu depuis plusieurs semaines." Après avoir soumis deux fois ses documents de vérification d'identité, la plateforme a gelé son compte sans mentionner les fonds manquants.