Die 10-Millionen-Dollar-Operation mit gestohlenen Karten

Betrügern zufolge versuchten Kriminelle, rund 10 Millionen US-Dollar über die US-Plattform von Polymarket – einen Prognosemarkt, auf dem Nutzer Kontrakte handeln, die an reale Ereignisse gekoppelt sind – zu bewegen, und zwar in einer Operation mit gestohlenen Debitkarten, die im Februar begann, wie aus einer am Samstag veröffentlichten Untersuchung hervorgeht. Das Schema beruhte auf kompromittierten Karten, die mit Tausenden Konten verknüpft waren und deren Einsatz Wetten finanzierte, bevor die Täter versuchten, die Erlöse auf Konten unter ihrer Kontrolle auszuzahlen. Die Angreifer nutzten Standard-Kartenzahlungsinfrastruktur aus: Checkout.com, der Abwickler der Einzahlungen von Polymarket, kennzeichnete die Operation und wies auf dem Höhepunkt mehr als 80 % der US-Einzahlungen von Polymarket als betrügerisch zurück – gegenüber einer branchenüblichen Rate von rund 1 %.

Die Aktivität war stark konzentriert. Etwa sieben Nutzer machten den Großteil aus, und ein einzelnes Konto versuchte allein rund 4.000 separate Einzahlungen. Die Untersuchung ergab nicht, wie viel der 10 Millionen US-Dollar tatsächlich die Plattform verlassen haben, und eine in dem Bericht zitierte Person sagte, die meisten Einzahlungsversuche seien fehlgeschlagen.

Die folgenreichere Enthüllung betrifft die interne Reaktion von Polymarket. Während betrügerische Einzahlungen sich auftürmten und zugleich ein Rückstau legitimer Auszahlungen bestand, schaffte die Führung die Anforderung ab, dass Mittel auf dasselbe Zahlungsmittel ausgezahlt werden müssen, das für die Einzahlung verwendet wurde – die Standardsicherung, die verhindert, dass Erlöse aus gestohlenen Karten ein sauberes Konto erreichen. Mitarbeitende warnten, die Änderung lade zu Geldwäsche ein; Führungskräfte erklärten, die bestehenden Kontrollen seien ausreichend. CEO Shayne Coplan soll den Mitarbeit angeblich gesagt haben, Wachstum zu priorisieren und regulatorische Bußgelder später zu behandeln.

Compliance-Chefin Andrew Clifford trat im April nach Vorlage eines detaillierten Berichts über den Betrug zurück. Der US-CEO Justin Hertzberg wurde entlassen, ebenso verließen die Leiter der US-Regulierung und der Geldwäschebekämpfung das Unternehmen. Eine interne Prüfung der Kanzlei Sullivan & Cromwell kam zu dem Schluss, dass die Plattform die Vorschriften eingehalten habe.

Die Betrugsraten kehrten Berichten zufolge bis Mai auf das Branchenniveau zurück, nachdem die Plattform die Anzahl der verknüpfbaren Debitkarten pro Nutzer begrenzt und den Prüfungsanbieter Riskified eingebunden hatte. Eine separate Registrierungsschwäche ermöglichte Ende Juli Angreifern, die die Sozialversicherungsnummer eines Opfers besaßen, die Übernahme von rund 500 Konten – mit verknüpften Bankkonten und Karten – ohne Kenntnis eines Passworts. Es handelte sich um ein Versagen der Identitätsprüfung und nicht der Kryptografie: Ein privater Schlüssel war zu keinem Zeitpunkt gefährdet. Die CFTC – die Commodity Futures Trading Commission, die bundesstaatliche US-Aufsichtsbehörde für Derivatemärkte – untersucht nun den Betrug, und das Personal wurde angewiesen, Unterlagen aufzubewahren.

Ein von der CFTC designierter Markt unter Aufsicht

Der Compliance-Rekord wiegt hier schwerer als bei einem gewöhnlichen Krypto-Startup. Die eigenen Registrierungsunterlagen der Behörde zeigen, dass QCX LLC, die Betreibergesellschaft von Polymarket US, am 9. Juli 2025 den Status als Designated Contract Market (DCM) erhielt und weiterhin als designiert geführt wird – womit sich die Plattform im formalen, bundesstaatlich beaufsichtigten Derivatrecht der USA befindet und nicht an deren Rand. Genau deshalb haben Kartenbetrug, Lücken bei der Kundenidentifikation und gelockerte Auszahlungskontrollen an einem registrierten Handelsplatz regulatorisches Gewicht, das ein Verstoß bei einem dezentralen Protokoll nie hätte.

Druck von der Zahlungsseite verstärkte das Bild. Visa soll Bedenken über die Zunahme betrügerischer Aktivitäten geäußert und Checkout.com gedrängt haben, die Kontrollen über Polymarket-Flüsse zu verschärfen, wobei der Abwickler seinerseits stärkere Maßnahmen von der Plattform forderte.

Unterlagen, die auf Basis eines Auskunftsgesuchs beschafft wurden, zeigen zudem, dass die CFTC einen Verdacht von Insiderhandel auf mehreren Polymarket-Märkten prüfte – Kontrakte zu Begnadigungen eines früheren US-Präsidenten, zu Iran-bezogenen Ereignissen und zu den jährlichen Google-Suchrankings –, wobei eine Gruppe von Konten auf dem Iran-Markt rund 2,4 Millionen US-Dollar erzielte und ein Händler auf dem Begnadigungsmarkt rund 300.000 US-Dollar.

Rasantes Wachstum bei steigenden Einsätzen

Die Kapitalmärkte haben die Wachstumsgeschichte gleichwohl wohlwollend aufgenommen. Polymarket sammelt rund 1 Milliarde US-Dollar bei einer Bewertung von 21 Milliarden US-Dollar ein; 1789 Capital von Donald Trump Jr. steuert etwa 300 Millionen US-Dollar zu den bereits investierten 200 Millionen US-Dollar bei. Der frühere Amazon-Finanzchef Warren Jenson ist als erster CFO des Unternehmens eingesetzt, und über einen Börsengang im Jahr 2027 wurde Berichten zufolge gesprochen.

Doch die Größe schärft die Einsätze. Das erste NFL-Wochenende der Saison 2026 brachte etwa 3,12 Milliarden US-Dollar am Sonntag im Prognosemarkt-Volumen und rund 3,17 Milliarden US-Dollar am Vortag im College Football. Kalshi setzte über das Wochenende etwa 4,89 Milliarden US-Dollar um, gegenüber rund 404 Millionen US-Dollar bei Polymarket. Branchenresearch bezifferte das monatliche Volumen des Sektors in diesem Jahr auf nahezu 21 Milliarden US-Dollar. Wenn Mittelzuflüsse dieser Größe – viel davon über Kartennetze und Stablecoin-Bestände, die an den US-Dollar gekoppelten Token, die üblicherweise genutzt werden, um Geld auf Krypto-Plattformen zu bringen – auf eine Geschwindigkeit-zuerst-Kultur treffen, wird Compliance-Kapazität zum Kernbestandteil des Produkts, und Nutzer, die das Plattformrisiko über Handelsplätze hinweg abwägen, müssen es nun neben Gebühren und Liquidität einpreisen.

Compliance-Kapazität entscheidet die Gewinner

Beide Stränge münden in einem Bogen: Die Prognosemärkte sind über die Kontrollinfrastruktur hinausgewachsen, die sie bis hierhin getragen hat. Das eigene Register der CFTC – die DCM-Bezeichnung von QCX LLC – verpflichtet zu einem Aufsichtsgrad, den die Februar-Entscheidungen erkennbar nicht erbracht haben, und die laufende Untersuchung, bei der das Personal angewiesen wurde, Unterlagen aufzubewahren, signalisiert, dass die Rechnung noch kommen kann.

Während Bitcoin (BTC) zum Redaktionsschluss nahe 86.570 US-Dollar hält und Mainstream-Kapital in Prognoseplattformen rotiert, tauchen Grenzfälle nun auf Titelseiten statt in Nischenforen auf. Diese Abfolge belebt das älteste Argument des Bitcoin-Maximalismus zum Plattformrisiko – die langjährige These, dass vermittelte Bestände Risiken bergen, die die Selbstverwahrung vermeidet – und sie dürfte jenen Betreibern zugutekommen sowie Schutzmechanismen wie DeFi-Versicherungen, eine On-Chain-Absicherung gegen Plattformausrfall, die auf Prüfbarkeit ausgelegt sind.