Отчет: компания Polymarket проигнорировала предупреждения во время мошеннической атаки на сумму 10 млн долларов

Высокий уровень отклонений вызвал жесткие меры со стороны платежного оператора

Стартап Polymarket, работающий на рынке прогнозов, сталкивается с обвинениями в том, что он ставил расширение пользовательской базы и агрессивный рост выше мер по обеспечению соблюдения нормативных требований, когда злоумышленники нацелились на его платформу в США, пытаясь похитить не менее 10 миллионов долларов с помощью украденных дебетовых карт.

Злоумышленники привязывали украденные платежные карты к счетам, делали ставки и пытались снимать наличные, чтобы «отмыть» счета или отдельные карты, находящиеся под их контролем. В одном случае с одного пользовательского аккаунта было совершено около 4 000 отдельных попыток пополнения счета.

Всплеск незаконной активности вызвал автоматическое вмешательство платежного оператора Checkout.com, который начал отклонять депозиты. В разгар кризиса Checkout.com отклонил более 80 % обработанных Polymarket депозитов как мошеннические, что значительно превышает стандартный для отрасли уровень мошенничества, составляющий примерно 1 %.

Согласно отчету Wall Street Journal, сотрудники Polymarket срочно сигнализировали генеральному директору Шейну Коплану о возникших проблемах по мере того, как число отклоненных платежей росло. Вместо того чтобы замедлить операционную деятельность для укрепления мер по борьбе с отмыванием денег, Коплан, как сообщается, поручил сотрудникам отдела комплаенс сосредоточиться на росте, предположив, что компания сможет просто заплатить штраф, если регуляторы когда-либо вмешаются.

Затем руководство отменило стандартную политику по предотвращению мошенничества, требующую, чтобы средства при выводе возвращались на тот же источник платежа, который использовался для пополнения счета. Несмотря на предупреждения сотрудников о том, что отмена этого ограничения создает условия для отмывания денег, изменение правил было проведено.

Этот инцидент привел к уходу из компании высшего руководства по рискам платформы, в том числе главного специалиста по комплаенсу в США Эндрю Клиффорда, который подал в отставку в апреле после представления официального меморандума, в котором были изложены недостатки в области комплаенса. Джастин Херцберг, генеральный директор Polymarket US, был уволен, а руководители подразделений по регулированию в США и по борьбе с отмыванием денег также покинули компанию.

Пробелы в безопасности и расследования

Февральская атака на дебетовые карты сопровождалась дополнительными нарушениями безопасности в течение года. В июне хакеры воспользовались сторонним поставщиком, чтобы внедрить вредоносный код на веб-сайт Polymarket, что непосредственно привело к списанию средств с балансов некоторых пользователей. Месяцем позже уязвимость в системе регистрации учетных записей позволила злоумышленникам, располагавшим украденными личными данными, получить доступ почти к 500 существующим учетным записям без ввода паролей. Позже Polymarket согласилась возместить ущерб пострадавшим пользователям.

Федеральные власти усиливают давление на платформу. Комиссия по торговле товарными фьючерсами (CFTC) начала расследование, поручив сотрудникам сохранить документацию, связанную с мошенническими атаками и внутренними процедурами обеспечения соответствия нормативным требованиям. Polymarket также сталкивается с расследованиями своих маркетинговых практик со стороны городского совета Нью-Йорка, а также с судебными исками в более чем дюжине штатов, в которых компания обвиняется в ведении деятельности в качестве нелицензированного игорного предприятия.

Polymarket утверждала, что её внутренние механизмы контроля в конечном итоге позволили сдержать проблему. К маю, после введения ограничения на количество дебетовых карт, которые один пользователь мог привязать к аккаунту, компании удалось снизить уровень мошенничества до средних показателей по отрасли. Последующее расследование, проведённое юридической фирмой Sullivan & Cromwell, пришло к выводу, что компания соблюдала применимые правила.

В публичном заявлении представитель Polymarket защитил протоколы платформы: «Наша система обеспечения целостности рынка включает процессы выявления, проверки и реагирования на подозрительную активность. Polymarket по-прежнему привержена поддержанию точных, справедливых и прозрачных рынков, при этом в полной мере сотрудничая с регулирующими органами и правоохранительными органами».

Для укрепления внутреннего управления Polymarket наняла бывшего агента ФБР Шауну Батисту для руководства своим следственным подразделением, привлекла бывшего финансового директора Amazon Уоррена Дженсона и назначила бывшего руководителя Uber Трэвиса Вандерзандена на должность директора по развитию.

Внимание со стороны регулирующих органов приурочено к тому, что Polymarket стремится привлечь 1 млрд долларов финансирования при оценке компании в 21 млрд долларов, причем значительную часть этой суммы — 300 млн долларов — обещал вложить фонд 1789 Capital, принадлежащий Дональду Трампу-младшему, — в рамках подготовки к потенциальному первичному публичному размещению акций.