Polymarket зіштовхується з комплаєнс- і кіберризиками на тлі агресивного масштабування

Автори: Katherine Long, Caitlin Ostroff, Neil Mehta. Підготовлено: Chopper, Foresight News. У лютому цього року партнерська установа, що обробляла транзакції дебетовими картками для американської беттінг-платформи Polymarket US, попередила компанію про масштабну хвилю шахрайства. Зловмисники прив'язували викрадені дебетові картки до акаунтів Polymarket US, робили ставки, а далі виводили кошти на власні "чисті" банківські рахунки або картки. Їхня мета — викрасти щонайменше $10 млн. Під час інциденту платіжний процесор встановив, що понад 80% операцій із поповнення рахунків були шахрайськими — проти приблизно 1% у середньому по індустрії. За словами співрозмовників, співробітники Polymarket одразу повідомили про ризик CEO Shayne Coplan. Команда комплаєнсу згадує, що відповідь керівника їх приголомшила: "Просто продовжуйте масштабуватися; якщо регулятори знайдуть проблему, ми просто сплатимо штраф". Чинні й колишні працівники кажуть, що ця раніше неоприлюднена репліка відображає стиль управління Coplan — ставка на зростання будь-якою ціною. Опитані The Wall Street Journal чинні та колишні співробітники й інвестори описують компанію як таку, що стрімко нарощує базу користувачів і капітал, але регулярно наштовхується на прогалини в комплаєнсі, юридичні конфлікти та збої в ПЗ. За даними джерел, після лютневої атаки частка шахрайства не поверталася до 80%, але залишалася підвищеною протягом кількох місяців. Після інциденту компанію залишили кілька керівників, було запущено внутрішнє розслідування. Колишні представники Commodity Futures Trading Commission (CFTC), Міністерства юстиції та Податкової служби США заявили, що масштаби спроби шахрайства та реакція Polymarket є безпрецедентними для ринків товарних деривативів і гральної індустрії. На відміну від традиційних товарних бірж, Polymarket напряму приймає кошти роздрібних клієнтів, що підвищує вразливість до атак. Колишній юрист із примусового виконання CFTC Joe Konizeski зазначив: "У регульованих сферах такого просто не трапляється. Професіонали керують коштами клієнтів так, щоб і походження, і призначення коштів відповідали правилам". Представник Polymarket відповів, що компанія прагне підтримувати точні, справедливі та прозорі ринки й співпрацює з регуляторами та правоохоронцями. "Наші механізми доброчесності ринку включають процеси виявлення, перевірки та реагування на підозрілу активність". Юридичний тиск на Polymarket посилюється. CFTC подала позов проти компанії; за словами джерел, співробітникам наказали зберігати матеріали, пов'язані з лютневою атакою та іншими питаннями. Міська рада Нью-Йорка проводить широке розслідування щодо Polymarket та інших платформ прогнозних ринків. Понад два десятки трейдерів подали позови, звинувачуючи Polymarket в оманливих бізнес-практиках. Окремо більш як десяток позовів на рівні штатів зводяться до ключового питання: чи є Polymarket і конкурент Kalshi неліцензованими гральними платформами. Рішення у цих справах можуть змінити правила гри для всього сектору. Попри накопичення ризиків, Coplan закликає команду зберігати темп зростання. Паралельно він просуває раунд фінансування на $1 млрд, який може оцінити компанію приблизно у $21 млрд. Участь у раунді візьме інвестфонд Donald Trump Jr. — 1789 Capital, який раніше вклав у Polymarket близько $200 млн. Polymarket має партнерство з даними з Dow Jones — материнською компанією The Wall Street Journal. Компанія намагається переформатувати образ для інвесторів і публіки — як більш зрілий бізнес, орієнтований на стале зростання. За словами поінформованих осіб, із травня Polymarket поступово наймає досвідчених фахівців з управління ризиками, зокрема колишнього агента ФБР, посилює комплаєнс-процедури та вдосконалює тестування продуктів. Наприкінці червня Coplan відвідав резиденцію Omeed Malik у Гемптонсі. Malik є співзасновником 1789 Capital, і зустріч була присвячена посиленню внутрішніх процесів перед потенційним IPO наступного року. Malik порадив найняти більше топменеджерів. Нещодавно Polymarket призначила першого фінансового директора: Warren Jenson, який на початку 2000-х обіймав посаду CFO в Amazon. Після розслідування The Wall Street Journal щодо операцій Polymarket із соціальними ставками компанія реорганізувала маркетингову команду й найняла засновника виробника електросамокатів Bird на посаду керівника зростання. Інші маркетологи, залучені до цього проєкту, або звільнилися, або їхні повноваження скоротили. Представник компанії заявив: "Polymarket швидко зростає й щодня прогресує. Ми пишаємося новопризначеною командою ключових лідерів і постійно модернізованою інфраструктурою; ми масштабували бізнес на стику фінансів, технологій і культури, зберігаючи фокус на відповідальному зростанні". 28-річного Coplan колишні співробітники описують як прямолінійного та авторитарного керівника, який міг публічно відчитувати працівників в офісі. За їх словами, звично було працювати до пізньої ночі й вживати Adderall (стимулятор центральної нервової системи, контрольована речовина). Декілька колишніх працівників стверджують, що Coplan постійно тиснув на інженерів, вимагаючи швидких ітерацій за постійно мінливим списком функцій. Запис, переглянутий The Wall Street Journal, показує, що в липні минулого року під час дискусії щодо вирішення спорів про результати ставок Coplan різко сказав: "Чувак, це смішно! Абсурдно, що ти постійно на це скаржишся". Навіть після врегулювання з федеральними регуляторами у 2022 році Polymarket було заборонено допускати користувачів із США до міжнародної платформи. У 2024 році, коли впізнаваність Polymarket зросла, два федеральні агентства розпочали перевірку, чи не порушила компанія умови угоди, дозволяючи трейдерам із США користуватися платформою. Приблизно в той самий час один із працівників поставив в офісі картонну фігуру в повний зріст Sam Bankman-Fried — засудженого криптошахрая — частково через зовнішню схожість Coplan із Bankman-Fried. Після заборони на роботу міжнародної платформи для американських користувачів Coplan доручив команді готуватися до повернення на ринок США. Polymarket почала прокладати шлях до застосунку, орієнтованого на США, і вела переговори з регуляторами щодо закриття поточних перевірок. Минулого літа компанія витратила $112 млн на купівлю ліцензованої біржі та ребрендинг у Polymarket US. Полімаркет US відкрили для ранніх користувачів у грудні. За словами джерел, на платформу швидко прийшло багато трейдерів, а сукупні депозити на рахунках перевищили $500 млн. Як одну з гарантій протидії відмиванню коштів Polymarket US застосовувала стандартне правило фінансових бірж: гроші, внесені через конкретний платіжний канал, мають виводитися назад тим самим каналом. Без цього обмеження зловмисники могли б поповнити рахунок викраденою дебетовою карткою, провести угоди та вивести прибуток на "чистий" банківський рахунок. Федеральні правила не зобов'язують прогнозні ринки запроваджувати таке правило. Інші брокери та гральні застосунки, зокрема DraftKings і FanDuel, його дотримуються. Основний конкурент Polymarket, Kalshi, цього правила не застосовує, але, за словами співрозмовників, відстежує виведення через різні канали й блокує підозрілі платежі. Попередження про шахрайство У січні цього року обсяги торгів у американському застосунку Polymarket були невеликою часткою порівняно з міжнародними майданчиками: у США обсяг ставок був менш ніж $3 млрд, тоді як міжнародні платформи перевищили $7,6 млрд. Застосунок перебуває у бета-тестуванні й доступний обмеженому колу користувачів, але Coplan прагнув максимально зняти тертя в користувацькому досвіді. Один із ключових пріоритетів — швидкий вивід коштів. До лютого Discord-спільноту Polymarket заполонили скарги на повільні виплати. Працівники пояснювали, що кошти обробляються, але комплаєнс-перевірки можуть затримувати виведення на дні або навіть тижні. Інженерні проблеми в американському застосунку посилили затримки. Перед виборами мера Нью-Йорка у 2025 році реклама Polymarket з'явилася на вулицях міста. У лютому платіжний провайдер Checkout.com повідомив Polymarket, що шахраї розпочали атаку, прив'язуючи викрадені дебетові картки до тисяч нових акаунтів. За словами осіб, знайомих із ситуацією, більшість спроб поповнення не пройшла, а атака переважно походила від семи користувачів; один із них зробив близько 4 000 спроб депозитів. Checkout.com продовжує співпрацювати з Polymarket і відмовився коментувати інцидент або характер партнерства. Атака перевантажила комплаєнс-команду й збільшила чергу на виведення коштів. За словами джерел, щоб прискорити повернення коштів користувачам, менеджмент вирішив скасувати правило "вивід тим самим каналом", попри застереження частини співробітників, що це відкриває вразливість для відмивання грошей. Керівники вважали, що наявних запобіжників достатньо для зниження ризику. Колишні федеральні прокурори зазначали, що неналежний контроль за відмиванням коштів може порушувати федеральні закони про протидію відмиванню грошей, незаконні перекази та навіть банківське шахрайство. CFTC і Міністерство юстиції раніше подавали позови проти низки компаній, включно з кількома криптобіржами; штрафи в окремих випадках сягали сотень мільйонів доларів. Водночас AML-вимоги, застосовні до Polymarket, порівняно м'якші. Джерело повідомило, що Andrew Clifford, Chief Compliance Officer Polymarket US, звільнився після подання детального звіту про шахрайство у квітні. Andrew Clifford і Polymarket відмовилися коментувати його відхід. Приблизно тоді ж Polymarket завершила раунд фінансування на $1 млрд, оцінивши компанію майже у $15 млрд; серед інвесторів був фонд Donald Trump Jr. Невдовзі після цього Polymarket звільнила CEO американського підрозділу Justin Hertzberg, а також пішли керівники з регуляторних питань і AML у регіоні. Justin Hertzberg не відповів на запити про коментар. За словами осіб, знайомих із висновками, розслідування юридичної фірми Sullivan & Cromwell дійшло висновку, що операції компанії відповідали регуляторним вимогам. Інше джерело повідомило, що до травня рівень шахрайства повернувся до галузевої норми завдяки обмеженню кількості дебетових карток на один акаунт та впровадженню нового сервісу запобігання шахрайству Riskified. Суперечливі нові ринки Polymarket також намагається розв'язати проблеми, спричинені поспішним запуском нових функцій. Колишні співробітники стверджують, що оновлення часто викочують без належного тестування. Коли інженери піднімали питання безпеки та пропонували спершу закрити наявні вразливості, Coplan інколи радив використовувати ШІ для прямої розробки нових функцій. Житель Нью-Йорка розповів, що після збою застосунку в липні з його акаунта зникли $950. Жінка з Каліфорнії повідомила, що $1 500 "застрягли" і їх неможливо вивести. 22-річний користувач із Массачусетсу сказав, що його акаунт заблокували; попри десятки звернень у підтримку він тижнями не отримував відповіді. За словами джерел, Polymarket компенсувала частині клієнтів втрати; інші повертали несанкціоновані транзакції через банки. Також компанія нещодавно посилила процес code review і найняла більше інженерів. Coplan підштовхував команду до запуску великої кількості резонансних прогнозних ринків. Текстові повідомлення, переглянуті The Wall Street Journal, свідчать, що він пропонував такі теми, як: "Скільки разів Kanye згадає євреїв на X цього тижня?" та "Кого Elon образить наступним?". Ці ринки так і не запустили. У червні компанія подала заявку на торговельну марку "Create Your Own Market". Колишні співробітники пов'язують це з довгостроковою стратегією Coplan — дати користувачам змогу самостійно створювати прогнозні ринки на будь-які теми. Професор економіки Barnard College Rajiv Sethi, який давно досліджує прогнозні ринки, попередив: такий підхід створює нові ризики маніпуляцій. Ставка на зірок і спортивні угоди Polymarket уклала партнерства з відомими селебріті та спортивними іконами, зокрема зіркою НБА LeBron James. Coplan прагне перетворити Polymarket на масовий бренд і активно інвестує у співпрацю з топовими знаменитостями та спортсменами, включно з LeBron James, а також у контракт на $300 млн з Major League Baseball. За словами джерел, команда LeBron James раніше повідомляла конкурентній платформі, що Polymarket пропонувала щорічний платіж $20 млн плюс $50 млн в акціях. Перевірити фінальні умови чинної угоди Polymarket не вдалося. Джерела стверджують, що LeBron James наразі не володіє часткою в Polymarket. Минулої осені Polymarket вела перемовини про багатомільйонне партнерство з музикантом Drake. І представник Polymarket, і команда Drake підтвердили, що угоди в підсумку не уклали. Водночас Drake згодом згадав Polymarket і Coplan в альбомі Iceman. Coplan відвідав закриту презентацію альбому Drake у замкоподібному маєтку в Торонто. Наприкінці квітня Polymarket запустила ринок ставок на те, чи скаже Drake слово "Polymarket" у новому альбомі. Акаунт, створений незадовго до релізу й орієнтований лише на "альбомні" ринки, зрештою заробив $7 800. За словами джерел і на підставі переглянутих даних, за кілька годин до релізу команда Drake дала співробітникам Polymarket ранній прослуховування альбому; почувши згадку назви компанії, працівники терміново зняли ринок зі списку через побоювання інсайдерської торгівлі. Учасник перемовин про партнерства зазначив, що віддачу від бренд-угод складно точно виміряти, але Coplan, схоже, мало турбувала окупність — він був зосереджений на самому факті укладання угоди. Коли співробітники запитували, чи не завелика пропозиція, Coplan відповів: "Мені взагалі байдуже". Керівники Intercontinental Exchange (ICE) — найбільшого інвестора Polymarket — в інтерв'ю висловлювали занепокоєння, що компанія припустилася кількох стратегічних помилок. У червні The Wall Street Journal повідомила, що Polymarket платила інфлюенсерам за публікацію фейкових торгових відео та запускала рекламу офшорної платформи, націлену на користувачів у США. Це насторожило ICE та інших інвесторів, які побоюються, що такі дії можуть порушувати федеральні рекламні правила та умови угоди між Polymarket і CFTC, яка забороняє пропонувати офшорні послуги трейдерам зі США. Наприкінці липня ICE повідомила у квартальному звіті, що володіє акціями Polymarket на $1,6 млрд, що відповідає 22% усіх акцій компанії в обігу. Ще один інцидент Наприкінці липня близько 500 користувачів Polymarket постраждали від нової шахрайської атаки, спричиненої інженерною помилкою. За словами джерел, нападники могли перехоплювати чинні акаунти Polymarket — разом із прив'язаними банківськими та дебетовими картками — реєструючи нові облікові записи на чуже ім'я з використанням персональних даних, зокрема викрадених номерів Social Security, без необхідності мати пароль чи логін. Загальна сума викрадених коштів у цьому випадку була відносно невеликою. Представник Polymarket заявив, що компанія компенсує користувачам усі втрачені кошти. Водночас кілька користувачів розповіли про втрати на тисячі доларів у розмовах і в Discord-спільноті та про те, що тижнями не отримували відповіді від служби підтримки, попри численні звернення. Працівник Polymarket у липні написав у Discord, що інженерна команда працює над розв'язанням проблем постраждалих. 26-річний Dane Collins розповів, що почав робити ставки на Чемпіонат світу через Polymarket US у травні. Раніше Kalshi була обмежена судовою забороною на надання спортивних ставок у його рідному штаті Мічиган. Коли Collins увійшов у свій акаунт у липні, він побачив, що всі його ставки ліквідовано, а прибуток $5 783,51 виведено на дебетову картку, яка йому не належить. Polymarket без пояснень зарахувала на його рахунок $25. Collins подав заяви до місцевої поліції, ФБР і CFTC. "Polymarket US не відповідає вже кілька тижнів", — сказав він. Після дворазового подання документів для верифікації платформа заморозила його акаунт і не згадала про зниклі кошти.