急拡大を続けるPolymarket、コンプライアンスとセキュリティのリスクが顕在化

執筆：Katherine Long、Caitlin Ostroff、Neil Mehta　編集：Chopper（Foresight News） 米予測市場（ベッティング）プラットフォーム「Polymarket」の米国向けサービス「Polymarket US」を巡り、急成長の裏で不正利用や規制対応の弱点、ソフトウェア不具合が相次いでいることが分かった。The Wall Street Journalが現・元従業員や投資家らへの取材を基に報じた。 関係者によると、今年2月、Polymarket USでデビットカード決済を処理する提携機関が、詐欺犯が大量に流入しているとして警告を出した。盗難デビットカードをPolymarket USの口座にひも付けて賭けを行い、資金を犯人側の"クリーン"な銀行口座やカードへ移す手口で、少なくとも1,000万ドルの窃取が試みられたという。決済事業者は、入金取引の80％超が不正だったと判断した。一般的な業界水準（約1％）を大きく上回る水準だ。 社内関係者によれば、従業員は直ちにこのリスクを最高経営責任者（CEO）のShayne Coplan氏に報告。コンプライアンス部門はCoplan氏が"拡大を続ければいい。規制当局が問題視したら罰金を払えば済む"趣旨の発言をしたとしており、驚愕したと振り返った。現・元従業員は、この未報道だった発言が"成長最優先"の経営姿勢を示しているとみている。 2月の攻撃後、プラットフォームの不正率は再び80％に達することはなかったものの、複数カ月にわたり高止まりしたという。複数の幹部が退社し、社内調査も始まった。米商品先物取引委員会（CFTC）、司法省（DOJ）、内国歳入庁（IRS）の元当局者らは、試みられた不正の規模と同社の対応は商品・賭博の両業界で前例がないと指摘する。 Polymarketは伝統的な商品取引所と異なり、個人（リテール）から直接資金を受け入れるため、詐欺攻撃に対して脆弱になりやすいとの見方もある。元CFTCの執行担当弁護士Joe Konizeski氏は"規制下の領域では起きにくい。専門家が顧客資金を管理し、資金の出所と行き先が規制に適合するよう徹底する"と述べた。 Polymarketの広報担当者は、同社は正確で公正、透明な市場の維持にコミットし、規制当局や法執行機関と積極的に協力していると説明。"市場の健全性を保つ仕組みとして、不審な活動を検知・検証し、対応するプロセスを備えている"とした。 一方で、法的リスクは複数方面で拡大している。CFTCは同社を提訴しており、関係者によると同社はこの不正攻撃や他案件に関する記録保全を従業員に指示した。ニューヨーク市議会はPolymarketなど予測市場を広く調査中で、20人超のトレーダーが欺瞞的な事業慣行を主張して訴訟を提起。さらに複数州で、Polymarketと競合のKalshiが無免許の賭博プラットフォームに当たるかが争点となる訴訟が10件超進んでいる。これらの判断は業界全体の枠組みを左右する可能性がある。 Coplan氏は従業員に急成長路線の維持を求めつつ、企業価値約210億ドルを想定する10億ドル規模の資金調達を進めているとされる。Donald Trump Jr.の投資ファンド「1789 Capital」が参加予定で、同ファンドは過去に約2億ドルをPolymarketに投資したという。なお、PolymarketはThe Wall Street Journalの親会社Dow Jonesとデータ提携関係にある。 投資家・世間に向けたイメージ刷新も進めている。関係者によれば5月以降、元FBI捜査官を含む経験豊富なリスク管理人材を段階的に採用し、コンプライアンス手続きの強化やプロダクト検証の見直しを進めた。 6月末にはCoplan氏が1789 Capital共同創業者Omeed Malik氏のハンプトンズの自宅を訪問し、来年のIPOの可能性を見据えた内部体制の整備について協議したという。Malik氏は上級幹部の増員を助言したとされる。最近では、2000年代初頭にAmazonでCFOを務めたWarren Jenson氏を初代CFOに起用した。 WSJがPolymarketのSNSを通じたベッティング関連運用を調査した後、同社はマーケティング組織を再編し、電動スクーター企業Bird創業者を成長部門の責任者として採用。SNS施策に関与していた他のマーケティング担当者は退社、または職務が縮小されたという。広報担当者は"Polymarketは急成長しており、日々前進している。新たな中核リーダーシップと継続的にアップグレードされるインフラを誇りに思う。金融・テクノロジー・カルチャーの最前線で事業を拡大しつつ、責任ある成長にコミットしている"と述べた。 社内文化を巡っても厳しい証言がある。28歳のCoplan氏は率直で権威的だと知られ、オフィスで従業員を叱責したこともあるという。元従業員によれば深夜までの勤務が常態化し、中枢神経刺激薬で規制薬物でもあるAdderallを使用する例もあったとされる。エンジニアには、変化し続ける新機能リストの実装を常に迫っていたという。WSJが確認した録音では、昨年7月に賭けの結果判定を巡る議論の最中、Coplan氏が"こんなのバカげてる。ずっと文句を言い続けてるのはおかしい"と強い口調で述べた。 Polymarketは2022年に連邦当局と和解した後、米国在住者に国際版プラットフォームを利用させることを禁じられた。2024年に知名度が高まると、2つの連邦機関が、米国トレーダーのアクセスを許して和解条件に違反した可能性があるとして調査を開始したという。 米国向け復帰も並行して進められた。関係者によれば、同社は米国向けアプリの道筋を付け、進行中の調査を解決するため当局と協議。昨夏には1億1,200万ドルで認可取引所を買収し"Polymarket US"として再ブランド化した。Polymarket USは12月にアーリー利用者向けに公開され、口座入金総額は5億ドル超に膨らんだという。 マネーロンダリング対策の一環として、Polymarket USは一般的な金融取引所ルールとして"特定チャネルで入金した資金は同一チャネルで出金する"運用を採用していた。これがないと、盗難デビットカードで入金し、取引後の資金を別の"クリーン"な口座へ移すことが容易になる。予測市場にこのルールを義務付ける連邦規制はないが、DraftKingsやFanDuelなど他のブローカー・賭博アプリは同様のルールに従う。競合のKalshiは同一チャネル出金を義務化していない一方、関係者によればチャネルをまたぐ出金を監視し、疑わしい支払いを凍結しているという。 今年1月時点で、米国アプリの取引規模は国際版に比べ小さく、賭け金は30億ドル未満、国際版は76億ドル超だった。アプリはベータ版で利用者が限定されていたが、Coplan氏はユーザー体験の摩擦を極力減らすことを狙い、出金の迅速化を最優先事項の一つに据えた。 2月になるとDiscordコミュニティには出金の遅さへの不満が噴出。スタッフは"処理中"と説明したが、コンプライアンス審査で出金が数日から数週間遅れることがあるとされた。米国アプリのエンジニアリング上の問題も出金遅延に拍車をかけた。2025年のニューヨーク市長選を前に、ニューヨーク市内ではPolymarketの広告も掲出されていた。 2月、決済大手Checkout.comは、盗難デビットカードが数千の新規口座にひも付けられる攻撃が起きたとPolymarketに通知したという。事情に詳しい関係者によると、多くの入金は失敗に終わり、攻撃の中心は7人で、そのうち1人は約4,000回の入金を試みた。Checkout.comはPolymarketとの協業を継続しているが、事件や提携の詳細についてコメントを控えた。 この攻撃でコンプライアンス部門は逼迫し、出金の滞留が拡大。関係者によれば、利用者への返金を急ぐため、経営陣は一部社員の"資金洗浄の脆弱性を生む"との警告を押し切り、同一チャネル出金ルールを撤廃する判断をした。幹部らは既存の防御策でリスクは十分抑えられるとみていたという。元連邦検察官は、マネーロンダリングの統制が不十分であれば、連邦の反マネロン法、不正送金、銀行詐欺関連法に抵触し得ると指摘する。CFTCや司法省は過去、暗号資産取引所を含む複数社に同種の訴訟を起こし、制裁金が数億ドル規模に達した例もある。 関係者によれば、Polymarket USの最高コンプライアンス責任者（CCO）Andrew Clifford氏は4月、不正問題に関する詳細な報告書を提出した後に辞任した。Clifford氏とPolymarketはいずれも退任についてコメントしていない。 同時期、同社は企業価値約150億ドルで10億ドルの資金調達を完了し、Trump Jr.のファンドも投資家として名を連ねたという。その後まもなく、米国部門CEOのJustin Hertzberg氏が解任され、地域の規制対応責任者と反マネロン責任者も退社したとされる。Hertzberg氏は取材要請に応じていない。 事情に詳しい関係者によると、法律事務所Sullivan & Cromwellが実施した調査は、同社の運営が規制要件に適合していると結論付けたという。別の関係者は、口座当たりのデビットカード登録数制限や不正対策サービスRiskifiedの導入によって、5月までに不正率が業界標準水準に戻ったと述べた。 プロダクト面でも課題が続く。元従業員によれば、同社は十分なテストなしにアップデートをユーザーに配信することが多かった。エンジニアが既存の脆弱性修正を優先すべきだと訴えると、Coplan氏がAIで新機能を直接開発するよう指示することもあったという。 利用者からは、アプリが7月にクラッシュした後に口座から950ドルが消えたというニューヨーク在住者の訴えや、カリフォルニア州の女性が1,500ドルを出金できず滞留しているとの主張が出ている。マサチューセッツ州の22歳ユーザーは口座が凍結され、サポートに何十回も連絡したが返信がなく、数週間待たされたと話した。 関係者によれば、Polymarketは一部顧客に補償を実施。別の顧客は銀行と協力して不正取引の回復を図ったという。同社は最近、コードレビュー工程を改善し、エンジニアの増員も進めているとされる。 Coplan氏は話題性の高い予測市場の投入も強く推進した。WSJが確認したテキストメッセージでは、"今週、KanyeはXで何回ユダヤ人に言及するか"、"次にElonは誰を侮辱するか"といった市場案を示したこともあったが、実際には立ち上がらなかった。 6月には"Create Your Own Market"の商標を出願。元従業員は、あらゆるテーマでユーザーが自由に市場を作成できるようにする長期成長戦略の一部だと説明する。バーナード・カレッジの経済学教授で予測市場研究者のRajiv Sethi氏は、ユーザー主導の市場作成は市場操作の新たなリスクを持ち込むと指摘した。 ブランド戦略も攻勢を強めている。PolymarketはNBAスターのLeBron James氏を含む著名人やスポーツ界の大物と提携し、家庭名詞級のブランド化を目指しているという。メジャーリーグベースボール（MLB）とは3億ドル規模の協業も確保したとされる。関係者によれば、LeBron James氏側は競合の予測市場に対し、Polymarketが年2,000万ドルの支払いに加え、株式5,000万ドル相当を提示したと以前明かしたという。ただし現行契約の最終条件は確認できていない。関係者は、LeBron James氏は現時点でPolymarketの株式を保有していないとも述べた。 昨秋にはミュージシャンDrakeとの数百万ドル規模の提携も交渉されたが、Polymarket広報とDrake側はいずれも"最終合意には至らなかった"と確認。ただしDrakeはアルバム『Iceman』でPolymarketとCoplan氏に言及し、Coplan氏はトロントの城館風邸宅で行われた非公開のアルバムお披露目に参加したという。 4月末、同社は"Drakeが新アルバムで'Polymarket'と言うか"という予測市場を開設。アルバム発売直前に作成された口座がアルバム関連市場のみに賭け、最終的に7,800ドルの利益を得たとされる。関係者とデータによれば、発売数時間前にDrake側がPolymarket従業員向けにアルバムを事前再生し、社名が出たことを受け、インサイダー取引リスクへの懸念から同社は当該市場を急きょ上場廃止したという。 提携交渉に関わった人物は、ブランド協業のリターンは精緻に測りにくいとしつつ、Coplan氏は損益分岐への関心が薄く、ディール成立に集中していたと語る。提示額が高すぎるのではと社員が疑問を呈した際、Coplan氏が"どうでもいい"と返したともされる。 最大株主の一角であるIntercontinental Exchange（ICE）の幹部の一部は、戦略面のミスを懸念していると取材で語った。WSJは6月、Polymarketがインフルエンサーに偽の取引動画投稿を依頼し、米国ユーザーを狙ってオフショア版の広告を打ったと報道。ICEなど投資家は、これが連邦広告規制や、米国トレーダーへのオフショア提供を禁じるPolymarketとCFTCの和解条件に抵触する可能性を警戒したという。 ICEは7月末の四半期報告で、Polymarket株式16億ドル相当を保有し、発行済み株式の22％に当たると開示した。 7月下旬には別の不正も発生した。関係者によると、エンジニアリング上の欠陥を突かれ、約500人の利用者が被害に遭った。攻撃者は、盗難の社会保障番号（SSN）など他人の個人情報を使って新規口座を登録するだけで、ユーザー名やパスワードなしに既存口座を乗っ取り、ひも付いた銀行口座やデビットカードまで掌握できたという。被害総額は比較的小さいとされる。 Polymarketの広報担当者は、失われた資金は全額補償すると説明した。利用者の一部はDiscordや取材で数千ドルの損失を訴え、サポートに多数の連絡を送っても数週間返答がないと述べた。一方、同社従業員は7月、Discord上でエンジニアリングチームが対応に当たっていると投稿した。 ミシガン州在住のDane Collins氏（26）は、5月にPolymarket USでワールドカップ関連の賭けを始めたという。競合Kalshiは同州で裁判所命令によりスポーツ賭博提供を禁じられていた。Collins氏は7月にログインしたところ、保有ポジションが全て清算され、利益5,783.51ドルが自分のものではないデビットカードに出金されていたと主張。Polymarketは説明なく25ドルを口座に入金したという。Collins氏は地元警察、FBI、CFTCに通報した。"Polymarket USからは数週間、返答がない"と述べ、本人確認書類を2度提出した後に口座が凍結され、消えた資金についての説明もなかったとしている。