La operación de tarjetas robadas de 10 millones de dólares

Estafadores intentaron mover alrededor de 10 millones de dólares a través de la plataforma de Polymarket en EE. UU. — un mercado de predicción donde los usuarios intercambian contratos vinculados a resultados del mundo real — en una operación con tarjetas de débito robadas que comenzó en febrero, según una investigación publicada el sábado. El esquema se basó en tarjetas comprometidas vinculadas a miles de cuentas, que se usaron para financiar apuestas antes de que los perpetradores intentaran retirar las ganancias a cuentas bajo su control. Los atacantes explotaron los rieles estándar de pagos con tarjeta: Checkout.com, el procesador encargado de los depósitos de Polymarket, detectó la operación y en su punto máximo rechazó más del 80% de los depósitos de Polymarket EE. UU. como fraudulentos — frente a una tasa estándar de la industria de cerca del 1%.

La actividad estuvo altamente concentrada. Unos siete usuarios explicaron la mayor parte, y una sola cuenta intentó alrededor de 4,000 depósitos distintos. La investigación no estableció cuánto de los 10 millones de dólares salió realmente de la plataforma, y una persona citada en el reporte dijo que la mayoría de los depósitos intentados fallaron.

La revelación más trascendente está en la respuesta interna de Polymarket. Con los depósitos fraudulentos acumulándose junto con un rezago de retiros legítimos, la dirección eliminó el requisito de que los fondos se retiraran a la misma fuente de pago utilizada para los depósitos — la salvaguarda estándar que evita que las ganancias de tarjetas robadas lleguen a una cuenta limpia. Los empleados advirtieron que el cambio invitaba al lav de dinero; los ejecutivos dijeron que los controles existentes eran suficientes. El CEO Shayne Coplan, según los reportes, dijo al personal priorizar el crecimiento y atender cualquier multa regulatoria más adelante.

El director de cumplimiento, Andrew Clifford, renunció en abril tras presentar un reporte detallado sobre el fraude. El CEO de EE. UU., Justin Hertzberg, fue despedido, y los responsables de regulación de EE. UU. y de prevención de lavado de dinero de la compañía también se fueron. Una revisión interna del bufete Sullivan & Cromwell concluyó que la plataforma había cumplido con las regulaciones.

Las tasas de fraude habrían regresado a los niveles de la industria para mayo, después de que la plataforma limitara la cantidad de tarjetas de débito que un usuario podía vincular e incorporara al proveedor de filtrado Riskified. Una falla de registro separada a finales de julio permitió entonces que atacantes con el número de Seguro Social de una víctima tomaran el control de alrededor de 500 cuentas — con cuentas bancarias y tarjetas vinculadas — sin conocer ninguna contraseña. La falla fue de verificación de identidad y no de criptografía: ninguna clave privada estuvo en juego. La CFTC — la Commodity Futures Trading Commission, la agencia federal que supervisa los mercados de derivados de EE. UU. — investiga ahora el fraude, y se ordenó al personal preservar los registros.

Un mercado designado por la CFTC bajo escrutinio

El historial de cumplimiento importa más aquí de lo que importaría en una startup cripto común. Los propios registros del regulador muestran que QCX LLC, la entidad que opera Polymarket EE. UU., recibió el estatus de Designated Contract Market (DCM) el 9 de julio de 2025 y sigue listada como designada — colocando la plataforma dentro del régimen formal de derivados supervisado por el gobierno federal de EE. UU. y no en su periferia. Ese estatus es precisamente la razón por la que el fraude con tarjetas, las brechas de identificación de clientes y los controles de retiro flexibilizados en un centro registrado tienen un peso regulatorio que una falla en un protocolo descentralizado nunca tendría.

La presión del lado de los pagos reforzó el panorama. Visa, según los reportes, expresó su preocupación por el aumento de la actividad fraudulenta e impulsó a Checkout.com a endurecer los controles sobre los flujos de Polymarket, y el procesador a su vez exigió medidas más fuertes a la plataforma.

Registros obtenidos mediante una solicitud de acceso a la información pública también muestran que la CFTC examinó posibles operaciones con información privilegiada en varios mercados de Polymarket — contratos vinculados a indultos de un expresidente de EE. UU., eventos relacionados con Irán y el ranking anual de búsquedas de Google — con un grupo de cuentas del mercado de Irán que obtuvo alrededor de 2.4 millones de dólares y un operador del mercado de indultos unos 300,000 dólares.

Crecimiento acelerado en medio de apuestas crecientes

Los mercados de capital han tratado bien la historia de crecimiento a pesar de todo. Polymarket está recaudando alrededor de 1,000 millones de dólares con una valoración de 21,000 millones, con 1789 Capital de Donald Trump Jr. sumando unos 300 millones de dólares a los 200 millones ya invertidos. El exdirector de finanzas de Amazon, Warren Jenson, ha sido nombrado el primer CFO de la compañía, y supuestamente se ha discutido una OPI para 2027.

Pero la escala agudiza los riesgos. El primer fin de semana de la NFL de la temporada 2026 generó alrededor de 3,120 millones de dólares en volumen de mercado de predicción el domingo y aproximadamente 3,170 millones el día anterior en fútbol americano universitario. Kalshi giró cerca de 4,890 millones de dólares durante el fin de semana, frente a los aproximadamente 404 millones de Polymarket. Investigaciones de la industria este año situaron el volumen mensual del sector cerca de 21,000 millones de dólares. Cuando entradas de ese tamaño — gran parte financiadas a través de redes de tarjetas y saldos de stablecoins, los tokens anclados al dólar comúnmente usados para mover dinero hacia plataformas cripto — se encuentran con una cultura de velocidad primero, la capacidad de cumplimiento se convierte en una parte central del producto, y los usuarios que ponderan el riesgo de plataforma entre centros ahora tienen que valorarlo junto con las comisiones y la liquidez.

La capacidad de cumplimiento decide a los ganadores

Ambos hilos convergen en un mismo arco: los mercados de predicción han superado la infraestructura de controles que los trajo hasta aquí. El registro de la propia CFTC — la designación DCM de QCX LLC — obliga a un grado de supervisión que las decisiones de febrero claramente no entregaron, y la investigación activa, con el personal ordenado a preservar los registros, señala que la factura podría llegar todavía.

Con Bitcoin (BTC) sosteniéndose cerca de 86,570 dólares al momento de la publicación y el capital convencional rotando hacia las plataformas de predicción, los casos límite ahora salen en portadas en lugar de foros de nicho. La secuencia revive el argumento más antiguo del maximalismo de Bitcoin sobre el riesgo de plataforma — la afirmación de largo plazo de que las tenencias intermediadas conllevan riesgos que la autocustodia evita — y es probable que favorezca a los operadores, y a protecciones como el seguro DeFi, cobertura en cadena contra fallas de plataforma, construidos para el escrutinio.