En febrero, presuntos defraudadores vincularon tarjetas de débito robadas a miles de cuentas de Polymarket US, la versión estadounidense del mercado de predicciones, para hacer apuestas y tratar de retirar los fondos hacia tarjetas o cuentas bajo su control, en un intento que superó los US$10 millones, según una investigación de The Wall Street Journal. Personas familiarizadas con el episodio dijeron al diario que empleados de cumplimiento alertaron al CEO Shayne Coplan, quien habría respondido que la empresa debía seguir creciendo y asumir una posible multa si los reguladores descubrían el problema. El caso expone la tensión entre la expansión de Polymarket, que ahora refuerza su equipo directivo ante una posible OPI, y los controles necesarios para una plataforma que maneja depósitos de usuarios.
El esquema aprovechó el paso entre depósitos y retiros
Según el reporte, Checkout.com, el procesador de pagos de Polymarket, advirtió que la plataforma estadounidense estaba recibiendo una oleada de depósitos vinculados con tarjetas robadas. En un momento, rechazó como fraudulentos más de 80% de los depósitos que procesaba para la aplicación, frente a una tasa cercana a 1% que el diario atribuye como referencia de la industria.
La mayoría de los intentos habría fallado, pero el volumen saturó al equipo de cumplimiento. Personas familiarizadas con el incidente dijeron al WSJ que siete usuarios concentraron gran parte del ataque y que uno intentó realizar cerca de 4,000 depósitos.
Polymarket US había aplicado una regla habitual en servicios financieros: el dinero depositado desde una fuente de pago debía retirarse hacia esa misma fuente. El control dificultaba que alguien usara una tarjeta robada para depositar fondos, hacer una apuesta y después transferir el saldo a una tarjeta limpia.
Cuando las quejas por retiros demorados se acumularon en febrero, la dirección decidió eliminar esa exigencia. Algunos empleados advirtieron que el cambio podía abrir un riesgo de blanqueo de fondos, pero los ejecutivos consideraron que otros controles serían suficientes, de acuerdo con las personas citadas por el diario. La cifra de US$10 millones corresponde a intentos detectados, no a una cantidad que se haya confirmado públicamente como retirada con éxito.
La alerta provocó renuncias y una investigación interna
Las tasas de fraude continuaron elevadas durante varios meses, aunque no volvieron a alcanzar el 80%, según el reporte. Para mayo, Polymarket las había reducido a niveles cercanos a la referencia de la industria, en parte al limitar la cantidad de tarjetas de débito que cada usuario podía vincular y contratar a Riskified, una firma especializada en prevención de fraude.
El responsable de cumplimiento de Polymarket US, Andrew Clifford, renunció en abril después de enviar a la dirección un informe sobre los problemas, según personas familiarizadas con el documento. Poco después, la empresa despidió al director ejecutivo de su división estadounidense, Justin Hertzberg, mientras los responsables de regulación en Estados Unidos y de prevención de lavado también abandonaron sus puestos. Clifford y Polymarket declinaron comentar al WSJ sus salidas.
La empresa encargó una investigación a Sullivan & Cromwell. Personas familiarizadas con sus conclusiones dijeron que el despacho determinó que Polymarket había cumplido con las normas, pero esa conclusión no elimina la disputa interna sobre la decisión de relajar la regla de retiros ni constituye una resolución pública de los reguladores.
En una respuesta general citada por el diario, una portavoz de Polymarket dijo que la compañía está creciendo y mejorando, y destacó sus nuevas contrataciones, las actualizaciones de infraestructura y el objetivo de crecer de forma responsable. La declaración no detalló públicamente el episodio de febrero ni respondió punto por punto a las advertencias atribuidas a los empleados.
Un segundo fallo expuso a casi 500 usuarios
El reportaje también describe otro incidente ocurrido a finales de julio. Una falla de ingeniería habría permitido que un atacante obtuviera acceso a cuentas existentes al intentar crear una cuenta con los datos personales de otro operador, sin necesitar su contraseña o nombre de usuario. Cerca de 500 usuarios habrían quedado expuestos y el monto perdido fue descrito como reducido por una persona familiarizada con el caso.
Algunos usuarios dijeron haber visto retiros no autorizados por miles de dólares y semanas de silencio del servicio de atención. Polymarket respondió que cubriría los fondos perdidos, aunque el caso muestra que las dificultades de la plataforma no se limitaron al fraude con tarjetas.
Polymarket refuerza su dirección antes de una posible OPI
El WSJ sitúa la reorganización dentro de un esfuerzo más amplio por profesionalizar la empresa antes de una posible oferta pública inicial. A finales de junio, Coplan se reunió con Omeed Malik, cofundador de 1789 Capital, para hablar sobre la estructura de Polymarket y la contratación de ejecutivos con más experiencia, según personas familiarizadas con el encuentro.
El 10 de septiembre, Polymarket nombró a Warren Jenson como su primer director financiero. Reuters confirmó que el ejecutivo ocupó cargos financieros en Amazon, Electronic Arts, Delta Air Lines y Nielsen, y que la empresa también incorporó a Travis VanderZanden, antiguo ejecutivo de Uber, como director de crecimiento. La llegada de Jenson y el contexto de la expansión estadounidense ya habían sido detallados por FomoEra.
Reuters reportó que los mercados de predicción de Kalshi y Polymarket sumaron US$48,400 millones de volumen en agosto, según Piper Sandler. Kalshi concentró US$40,000 millones, casi cinco veces el volumen de Polymarket, mientras la compañía de Coplan superó US$1,000 millones en ingresos anualizados, de acuerdo con el mismo reporte.
La plataforma también llega a esta etapa después de otros cuestionamientos sobre sus mercados internacionales, incluidos los expedientes de la CFTC que FomoEra documentó en una cobertura previa. El antecedente regulatorio más antiguo es la orden de enero de 2022 contra Blockratize, la empresa detrás de Polymarket: la CFTC le impuso una multa civil de US$1.4 millones, le exigió cerrar los mercados que no cumplieran con la ley y le ordenó cesar las infracciones.
Polymarket US opera ahora como un mercado de contratos designado bajo supervisión de la CFTC, pero esa estructura regulada no resuelve por sí sola los problemas de controles, seguridad y gobierno corporativo descritos en el reporte. La posible OPI aparece como un objetivo de preparación empresarial, no como una operación anunciada con fecha pública.
La reducción de las tasas de fraude y la contratación de ejecutivos con experiencia muestran que Polymarket tomó medidas después del episodio. El punto pendiente es si la dirección mantendrá esos controles cuando entren en conflicto con la velocidad de crecimiento que llevó a la plataforma a expandirse con tanta rapidez.
