Polymarket đối mặt rủi ro tuân thủ và an ninh khi mở rộng ồ ạt

Bài viết: Katherine Long, Caitlin Ostroff, Neil Mehta. Tổng hợp: Chopper, Foresight News. Tháng 2 năm nay, một tổ chức đối tác xử lý giao dịch thẻ ghi nợ cho nền tảng cá cược Polymarket US đã cảnh báo về làn sóng gian lận quy mô lớn. Theo mô tả, các đối tượng tội phạm liên kết thẻ ghi nợ bị đánh cắp với tài khoản Polymarket US, đặt cược, rồi rút tiền về tài khoản ngân hàng hoặc thẻ "sạch" của mình, với mục tiêu chiếm đoạt ít nhất 10 triệu USD. Trong giai đoạn đó, đơn vị xử lý thanh toán xác định hơn 80% giao dịch nạp tiền là gian lận, cao vượt xa mức chuẩn của ngành khoảng 1%. Nguồn tin nội bộ cho biết nhân viên Polymarket đã lập tức báo rủi ro lên CEO Shayne Coplan. Nhóm tuân thủ kể lại phản hồi của Coplan khiến họ sững sờ: "Cứ tiếp tục mở rộng; nếu cơ quan quản lý thấy có vấn đề thì mình trả phạt là xong." Nhân sự đương nhiệm và cựu nhân sự nói đây là phát ngôn chưa từng được công bố, phản ánh phong cách điều hành ưu tiên tăng trưởng bằng mọi giá. Các cuộc phỏng vấn của The Wall Street Journal với nhân viên, cựu nhân viên và nhà đầu tư cho thấy trong quá trình tăng tốc thu hút người dùng và vốn, công ty liên tục vấp phải lỗ hổng tuân thủ, tranh chấp pháp lý và sự cố phần mềm. Dù tỷ lệ gian lận không quay lại mức 80% sau đợt tấn công tháng 2, con số này vẫn ở mức cao trong nhiều tháng. Sau sự việc, một số lãnh đạo rời đi và công ty mở điều tra nội bộ. Các cựu quan chức từ Ủy ban Giao dịch Hàng hóa Tương lai Mỹ (CFTC), Bộ Tư pháp và Sở Thuế vụ Mỹ (IRS) nhận định quy mô vụ gian lận và cách phản ứng của Polymarket là chưa từng thấy trong cả ngành hàng hóa lẫn cá cược. Khác với sàn giao dịch hàng hóa truyền thống, Polymarket nhận tiền trực tiếp từ nhà đầu tư nhỏ lẻ nên dễ trở thành mục tiêu. Cựu luật sư thực thi của CFTC Joe Konizeski nói: "Trong môi trường được quản lý, chuyện này không xảy ra. Người làm chuyên nghiệp quản lý tiền khách hàng để bảo đảm cả nguồn tiền lẫn dòng tiền ra đều tuân thủ." Đại diện Polymarket cho biết công ty cam kết duy trì thị trường chính xác, công bằng, minh bạch và chủ động phối hợp với cơ quan quản lý, lực lượng thực thi pháp luật. Người phát ngôn nói cơ chế bảo toàn liêm chính thị trường bao gồm quy trình phát hiện, xác minh và xử lý hoạt động đáng ngờ. Trên mặt trận pháp lý, Polymarket đối diện số vụ kiện ngày càng tăng. CFTC đã khởi kiện công ty; nguồn tin cho biết Polymarket cũng yêu cầu nhân viên lưu giữ hồ sơ liên quan đến vụ gian lận tháng 2 và các vấn đề khác. Hội đồng Thành phố New York đang tiến hành điều tra diện rộng với Polymarket và các nền tảng thị trường dự đoán; hơn 20 nhà giao dịch nộp đơn kiện, cáo buộc Polymarket có hành vi kinh doanh gây hiểu lầm. Bên cạnh đó, hơn một chục vụ kiện cấp bang xoay quanh câu hỏi trọng tâm: Polymarket và đối thủ Kalshi có vận hành như nền tảng cờ bạc không giấy phép hay không. Kết quả các vụ việc có thể định hình lại toàn ngành. Dù rủi ro pháp lý chồng chất, Coplan vẫn yêu cầu nhân viên giữ nhịp tăng trưởng. Công ty đang xúc tiến vòng gọi vốn 1 tỷ USD, có thể định giá Polymarket khoảng 21 tỷ USD. Quỹ 1789 Capital của Donald Trump Jr. dự kiến tham gia; quỹ này trước đó đã rót khoảng 200 triệu USD vào Polymarket. Polymarket có hợp tác dữ liệu với Dow Jones, công ty mẹ của The Wall Street Journal. Theo nguồn tin am hiểu, từ tháng 5, công ty bắt đầu tuyển dần nhân sự quản trị rủi ro giàu kinh nghiệm, gồm cả một cựu đặc vụ FBI, đồng thời siết quy trình tuân thủ và cải thiện kiểm thử sản phẩm. Cuối tháng 6, Coplan đến Hamptons gặp Omeed Malik, đồng sáng lập 1789 Capital, để bàn cách nâng cấp vận hành nội bộ trước khả năng IPO vào năm sau. Malik khuyến nghị Coplan bổ sung thêm các lãnh đạo cấp cao. Gần đây, Polymarket bổ nhiệm CFO đầu tiên là Warren Jenson, người từng làm CFO của Amazon đầu những năm 2000. Sau cuộc điều tra của The Wall Street Journal về hoạt động cá cược trên mạng xã hội, Polymarket tái cấu trúc bộ phận marketing và thuê nhà sáng lập hãng xe scooter điện Bird làm người đứng đầu mảng tăng trưởng. Một số nhân sự marketing tham gia dự án quảng bá trên mạng xã hội đã rời công ty hoặc bị thu hẹp trách nhiệm. Người phát ngôn nói Polymarket tăng trưởng nhanh, hạ tầng liên tục được nâng cấp, đội ngũ lãnh đạo nòng cốt mới được bổ sung, và công ty theo đuổi tăng trưởng có trách nhiệm. Coplan, 28 tuổi, được mô tả là thẳng thừng và mang tính áp đặt, từng quở trách nhân viên tại văn phòng. Cựu nhân viên cho biết làm việc đến khuya là chuyện phổ biến và có người sử dụng Adderall (chất kích thích hệ thần kinh trung ương thuộc diện kiểm soát). Nhiều người nói Coplan gây áp lực liên tục lên đội kỹ sư để cập nhật theo danh sách tính năng mới luôn thay đổi. Một đoạn ghi âm The Wall Street Journal xem được cho thấy tháng 7 năm ngoái, khi bàn cách phân xử tranh chấp kết quả cược, Coplan nói thẳng: "Trời, cái này lố bịch quá! Vô lý khi các bạn cứ than phiền mãi." Dù đã dàn xếp với cơ quan quản lý liên bang vào năm 2022, Polymarket vẫn bị cấm cho người dùng đặt tại Mỹ truy cập nền tảng quốc tế. Năm 2024, khi độ phủ của Polymarket tăng, hai cơ quan liên bang mở điều tra liệu công ty có vi phạm thỏa thuận dàn xếp bằng cách cho nhà giao dịch Mỹ truy cập hay không. Cùng thời điểm đó, một nhân viên trong văn phòng đặt mô hình carton kích thước người thật của Sam Bankman-Fried, kẻ lừa đảo crypto đã bị kết án, một phần vì Coplan được cho là có nét giống Bankman-Fried. Sau khi bị chặn cung cấp nền tảng quốc tế cho người dùng Mỹ, Coplan yêu cầu nhân viên chuẩn bị quay lại thị trường Mỹ. Công ty mở đường cho ứng dụng đặt tại Mỹ và đàm phán với cơ quan quản lý để xử lý các cuộc điều tra. Mùa hè năm ngoái, Polymarket chi 112 triệu USD mua một sàn đã được cấp phép và đổi thương hiệu thành Polymarket US. Polymarket US mở cho người dùng sớm vào tháng 12. Nguồn tin nói lượng nhà giao dịch đổ vào lớn, tổng tiền nạp vượt 500 triệu USD. Là một lớp phòng vệ chống rửa tiền, Polymarket US áp dụng quy tắc phổ biến của các sàn tài chính: tiền nạp qua kênh thanh toán nào phải rút về đúng kênh đó. Không có quy tắc này, kẻ xấu có thể nạp bằng thẻ bị đánh cắp, giao dịch rồi rút lợi nhuận về tài khoản ngân hàng "sạch". Quy định liên bang không bắt buộc thị trường dự đoán phải áp dụng quy tắc này. Một số брокer và ứng dụng cá cược như DraftKings, FanDuel vẫn tuân thủ. Đối thủ chính Kalshi không áp dụng, nhưng nguồn tin nói Kalshi theo dõi rút tiền khác kênh và phong tỏa thanh toán đáng ngờ. Cảnh báo gian lận Tháng 1 năm nay, khối lượng giao dịch của ứng dụng Mỹ chỉ là phần nhỏ so với nền tảng quốc tế lớn hơn: khối lượng đặt cược dưới 3 tỷ USD, trong khi nền tảng quốc tế vượt 7,6 tỷ USD. Dù ứng dụng vẫn ở giai đoạn beta và chỉ mở cho nhóm người dùng hạn chế, Coplan muốn giảm tối đa ma sát trải nghiệm. Một ưu tiên hàng đầu là rút tiền nhanh. Đến tháng 2, cộng đồng Discord của Polymarket ngập phản ánh rút tiền chậm. Nhân viên nói tiền đang xử lý nhưng khâu rà soát tuân thủ có thể khiến việc rút bị kéo dài vài ngày, thậm chí vài tuần. Lỗi kỹ thuật của ứng dụng Mỹ khiến tình trạng tệ hơn. Trước kỳ bầu cử thị trưởng New York City năm 2025, quảng cáo Polymarket đã xuất hiện trên đường phố New York. Tháng 2, nhà cung cấp thanh toán Checkout.com thông báo cho Polymarket về một đợt tấn công: kẻ gian gắn thẻ ghi nợ bị đánh cắp vào hàng nghìn tài khoản mới. Nguồn tin thân cận cho biết đa số nỗ lực nạp tiền thất bại, đợt tấn công chủ yếu đến từ 7 người dùng, trong đó có một người thử khoảng 4.000 lần nạp. Checkout.com vẫn hợp tác với Polymarket và từ chối bình luận về sự việc cũng như bản chất quan hệ đối tác. Đợt tấn công làm quá tải nhóm tuân thủ, khiến tồn đọng rút tiền tăng mạnh. Nguồn tin nói để đẩy nhanh hoàn trả tiền cho người dùng, ban lãnh đạo quyết định bỏ quy tắc rút tiền cùng kênh, bất chấp cảnh báo rằng điều này tạo lỗ hổng cho rửa tiền. Lãnh đạo tin các biện pháp bảo vệ hiện có đủ để giảm rủi ro. Các cựu công tố viên liên bang cho rằng kiểm soát rửa tiền không đầy đủ có thể vi phạm luật chống rửa tiền liên bang, luật chuyển tiền bất hợp pháp, thậm chí luật gian lận ngân hàng. CFTC và Bộ Tư pháp từng khởi kiện nhiều công ty, gồm một số sàn tiền mã hóa, với mức phạt có trường hợp lên tới hàng trăm triệu USD. Dù vậy, các yêu cầu chống rửa tiền áp cho Polymarket được đánh giá là tương đối "dễ thở". Một nguồn tin cho biết Andrew Clifford, Giám đốc tuân thủ của Polymarket US, đã từ chức sau khi nộp báo cáo chi tiết về vấn đề gian lận vào tháng 4. Clifford và Polymarket đều không bình luận về việc ra đi. Cùng thời gian đó, Polymarket hoàn tất vòng gọi vốn 1 tỷ USD, định giá gần 15 tỷ USD, với nhà đầu tư gồm quỹ của Donald Trump Jr. Không lâu sau, công ty sa thải CEO mảng Mỹ Justin Hertzberg, rồi đến lượt phụ trách quản lý khu vực và chống rửa tiền rời đi. Hertzberg không phản hồi yêu cầu bình luận. Nguồn tin quen thuộc cho biết cuộc rà soát do hãng luật Sullivan & Cromwell thực hiện kết luận hoạt động của công ty đáp ứng yêu cầu pháp lý. Một nguồn khác nói đến tháng 5, nhờ giới hạn số thẻ ghi nợ trên mỗi tài khoản và triển khai dịch vụ chống gian lận mới Riskified, tỷ lệ gian lận đã trở về mức bình thường của ngành. Thị trường mới gây tranh cãi và các lỗi sản phẩm Polymarket cũng xử lý hệ quả từ việc tung tính năng mới quá gấp. Cựu nhân viên nói công ty thường đẩy cập nhật đến người dùng mà không kiểm thử đầy đủ. Khi kỹ sư nêu lo ngại và đề nghị ưu tiên vá các lỗ hổng hiện hữu, Coplan đôi lúc yêu cầu dùng AI để phát triển thẳng tính năng mới. Một người ở New York nói sau khi ứng dụng bị sập vào tháng 7, 950 USD biến mất khỏi tài khoản. Một phụ nữ ở California cho biết 1.500 USD bị kẹt, không thể rút. Một người dùng 22 tuổi tại Massachusetts nói tài khoản bị khóa; dù liên hệ hỗ trợ hàng chục lần vẫn không được phản hồi và phải chờ nhiều tuần. Nguồn tin nói Polymarket đã bồi thường cho một số khách hàng; những người khác làm việc với ngân hàng để hoàn tiền các giao dịch không được ủy quyền. Gần đây công ty cải thiện quy trình review mã và tuyển thêm kỹ sư. Coplan thúc đội ngũ ra mắt nhiều thị trường dự đoán có tính "gây bão". Tin nhắn The Wall Street Journal xem được cho thấy ông từng đề xuất các kèo như: "Tuần này Kanye nhắc đến người Do Thái trên X bao nhiêu lần?" và "Elon sẽ xúc phạm ai tiếp theo?", nhưng các thị trường này không được mở. Tháng 6, công ty nộp đơn đăng ký nhãn hiệu "Create Your Own Market". Cựu nhân viên nói đây là một phần chiến lược dài hạn nhằm cho phép người dùng tự tạo thị trường dự đoán về bất kỳ chủ đề nào. Giáo sư kinh tế Rajiv Sethi (Barnard College), người nghiên cứu thị trường dự đoán lâu năm, cảnh báo việc cho người dùng tự tạo thị trường làm phát sinh rủi ro thao túng. Chi mạnh cho thương hiệu và người nổi tiếng Polymarket đã hợp tác với nhiều người nổi tiếng và biểu tượng thể thao, gồm ngôi sao NBA LeBron James. Coplan muốn biến Polymarket thành thương hiệu đại chúng, chi mạnh cho các thỏa thuận với nghệ sĩ, vận động viên hàng đầu, trong đó có LeBron James, và ký hợp tác 300 triệu USD với Major League Baseball. Nguồn tin nói đội ngũ của LeBron James từng tiết lộ với một nền tảng thị trường dự đoán cạnh tranh rằng Polymarket đề nghị trả 20 triệu USD mỗi năm cộng thêm 50 triệu USD cổ phần. Điều khoản cuối cùng của thỏa thuận hiện tại không thể xác minh. Nguồn tin khẳng định LeBron James hiện không nắm cổ phần Polymarket. Mùa thu năm ngoái, Polymarket đàm phán một thỏa thuận trị giá nhiều triệu USD với ca sĩ Drake. Người phát ngôn Polymarket và phía Drake xác nhận cuối cùng không đạt thỏa thuận. Dù vậy, Drake sau đó nhắc đến Polymarket và Coplan trong album *Iceman*. Coplan tham dự sự kiện ra mắt album riêng của Drake tại một dinh thự kiểu lâu đài ở Toronto. Cuối tháng 4, Polymarket mở kèo dự đoán việc Drake có nói từ "Polymarket" trong album mới hay không. Một tài khoản tạo ngay trước khi album phát hành, chỉ đặt cược các thị trường liên quan đến album, chốt lãi 7.800 USD. Theo nguồn tin và dữ liệu được xem xét, vài giờ trước khi album ra mắt, phía Drake cho nhân viên Polymarket nghe trước; khi nghe thấy tên công ty xuất hiện, nhân viên đã khẩn cấp gỡ thị trường dự đoán vì lo ngại rủi ro giao dịch nội gián. Một người tham gia đàm phán hợp tác cho rằng hiệu quả các thương vụ thương hiệu rất khó đo lường, nhưng Coplan dường như không bận tâm việc thỏa thuận có hòa vốn hay không, mục tiêu chỉ là chốt deal. Khi nhân viên đặt câu hỏi mức đề nghị có quá cao, Coplan đáp: "Tôi chẳng quan tâm chút nào." Một số lãnh đạo tại Intercontinental Exchange (ICE), nhà đầu tư lớn nhất của Polymarket, nói trong phỏng vấn rằng công ty đã có vài bước đi chiến lược sai. Báo cáo của The Wall Street Journal tháng 6 cho biết Polymarket trả tiền cho influencer đăng video giao dịch giả và chạy quảng cáo nền tảng offshore nhắm đến người dùng Mỹ. Điều này khiến ICE và các nhà đầu tư khác cảnh giác vì lo ngại vi phạm quy định quảng cáo liên bang và thỏa thuận dàn xếp giữa Polymarket với CFTC, vốn cấm cung cấp dịch vụ nền tảng offshore cho nhà giao dịch Mỹ. Cuối tháng 7, ICE công bố trong báo cáo quý rằng họ nắm 1,6 tỷ USD cổ phần Polymarket, tương đương 22% số cổ phần đang lưu hành. Thêm một đợt tấn công Cuối tháng 7, gần 500 người dùng Polymarket tiếp tục là nạn nhân của một vụ gian lận khác xuất phát từ lỗi kỹ thuật. Nguồn tin nói kẻ tấn công có thể chiếm quyền các tài khoản Polymarket hiện có, kèm tài khoản ngân hàng và thẻ ghi nợ liên kết, bằng cách đăng ký tài khoản mới sử dụng thông tin cá nhân của người khác như số An sinh Xã hội bị đánh cắp, mà không cần mật khẩu hay tên người dùng. Tổng số tiền bị lấy cắp trong vụ này được mô tả là không lớn. Đại diện Polymarket cho biết công ty sẽ bồi thường toàn bộ khoản tiền bị mất cho người dùng. Nhiều người dùng kể bị mất hàng nghìn USD trong phỏng vấn và trên Discord, cho biết họ gửi nhiều tin nhắn tới bộ phận hỗ trợ nhưng nhiều tuần không nhận phản hồi. Một nhân viên Polymarket viết trên Discord vào tháng 7 rằng đội kỹ thuật đang xử lý các trường hợp bị ảnh hưởng. Dane Collins, 26 tuổi, cho biết anh bắt đầu đặt cược World Cup trên Polymarket US từ tháng 5. Trước đó, Kalshi bị tòa án cấm cung cấp cá cược thể thao tại bang Michigan, nơi anh sinh sống. Khi đăng nhập vào tháng 7, Collins phát hiện toàn bộ lệnh cược bị thanh lý, và khoản lãi 5.783,51 USD đã bị rút về một thẻ ghi nợ không thuộc về anh. Polymarket chuyển 25 USD vào tài khoản của anh mà không giải thích. Collins đã gửi báo cáo tới cảnh sát địa phương, FBI và CFTC. Anh nói: "Polymarket US đã không phản hồi trong nhiều tuần." Sau khi nộp tài liệu xác minh danh tính hai lần, nền tảng đóng băng tài khoản của anh và không nhắc gì đến khoản tiền bị mất.