L'opération de fraude aux cartes volées de 10 millions de dollars

Des fraudeurs ont tenté de faire circuler environ 10 millions de dollars sur la plateforme américaine de Polymarket — un marché de prédiction où les utilisateurs échangent des contrats liés à des événements réels — dans le cadre d'une opération de fraude aux cartes de débit volées qui a débuté en février, selon une enquête publiée samedi. Le schéma reposait sur des cartes compromises liées à des milliers de comptes, utilisées pour financer des paris avant que les auteurs ne tentent de retirer les fonds vers des comptes sous leur contrôle. Les attaquants ont exploité les circuits de paiement par carte standard : Checkout.com, le processeur gérant les dépôts de Polymarket, a signalé l'opération et a rejeté à son apogée plus de 80 % des dépôts de Polymarket US comme frauduleux — contre un taux standard du secteur d'environ 1 %.

L'activité était très concentrée. Environ sept utilisateurs représentaient l'essentiel de celle-ci, et un seul compte a tenté environ 4 000 dépôts distincts. L'enquête n'a pas établi quelle part des 10 millions de dollars avait réellement quitté la plateforme, et une personne citée dans le reportage a indiqué que la plupart des dépôts tentés avaient échoué.

La divulgation la plus lourde de conséquences concerne la réponse interne de Polymarket. Alors que les dépôts frauduleux s'accumulaient parallèlement à un arriéré de retraits légitimes, la direction a supprimé l'exigence selon laquelle les fonds devaient être retirés vers la même source de paiement que celle utilisée pour les dépôts — la protection standard qui empêche les produits de fraude aux cartes volées d'atteindre un compte sain. Des employés ont averti que ce changement ouvrait la voie au blanchiment d'argent ; les dirigeants ont affirmé que les contrôles existants étaient suffisants. Le PDG Shayne Coplan aurait demandé au personnel de privilégier la croissance et de régler plus tard les éventuelles amendes réglementaires.

Le directeur de la conformité Andrew Clifford a démissionné en avril après avoir soumis un rapport détaillé sur la fraude. Le PDG américain Justin Hertzberg a été licencié, et les responsables de la régulation américaine et de la lutte contre le blanchiment de l'entreprise ont également quitté leurs fonctions. Une revue interne du cabinet d'avocats Sullivan & Cromwell a conclu que la plateforme était conforme aux réglementations.

Les taux de fraude seraient revenus aux normes du secteur d'ici mai, après que la plateforme a plafonné le nombre de cartes de débit qu'un utilisateur pouvait lier et intégré le prestataire de filtrage Riskified. Une faille distincte d'enregistrement fin juillet a ensuite permis à des attaquants détenant le numéro de sécurité sociale d'une victime de prendre le contrôle d'environ 500 comptes — avec comptes bancaires et cartes liés — sans connaître aucun mot de passe. La défaillance était liée à la vérification d'identité plutôt qu'à la cryptographie : aucune clé privée n'a jamais été en jeu. La CFTC — la Commodity Futures Trading Commission, l'agence fédérale qui supervise les marchés de dérivés américains — enquête désormais sur cette fraude, et le personnel a reçu l'ordre de conserver les documents.

Un marché désigné par la CFTC sous surveillance

Le bilan de conformité compte ici davantage que pour une start-up crypto ordinaire. Les registres d'enregistrement du régulateur montrent que QCX LLC, l'entité exploitant Polymarket US, a obtenu le statut de Designated Contract Market (DCM) le 9 juillet 2025 et figure toujours comme désignée — plaçant la plateforme au cœur du régime formel américain de dérivés supervisé au niveau fédéral plutôt qu'en périphérie. C'est précisément ce statut qui donne aux fraudes par carte, aux lacunes d'identification des clients et à l'assouplissement des contrôles de retrait sur un lieu enregistré un poids réglementaire qu'une faille d'un protocole décentralisé n'aurait jamais.

La pression du côté des paiements a renforcé ce tableau. Visa aurait exprimé des inquiétudes face à la flambée d'activités frauduleuses et poussé Checkout.com à resserrer les contrôles sur les flux de Polymarket, le processeur exigeant à son tour des mesures plus strictes de la plateforme.

Des documents obtenus via une demande de documents publics montrent également que la CFTC a examiné des soupçons de délit d'initié sur plusieurs marchés de Polymarket — des contrats liés aux grâces d'un ancien président américain, à des événements liés à l'Iran et au classement annuel des recherches de Google — un groupe de comptes sur le marché iranien ayant engrangé environ 2,4 millions de dollars et un trader du marché des grâces environ 300 000 dollars.

Une croissance rapide dans un contexte de risques croissants

Les marchés de capitaux ont néanmoins accueilli favorablement cette histoire de croissance. Polymarket lève environ 1 milliard de dollars pour une valorisation de 21 milliards de dollars, 1789 Capital de Donald Trump Jr. ajoutant environ 300 millions de dollars aux 200 millions de dollars déjà investis. L'ancien directeur financier d'Amazon Warren Jenson a été nommé premier CFO de l'entreprise, et une introduction en bourse a été évoquée pour 2027 selon les rapports.

Mais l'échelle aiguise les enjeux. Le premier week-end de NFL de la saison 2026 a généré environ 3,12 milliards de dollars de volume de marché de prédiction le dimanche et environ 3,17 milliards de dollars la veille sur le football universitaire. Kalshi a traité environ 4,89 milliards de dollars sur le week-end, contre environ 404 millions de dollars pour Polymarket. Les recherches du secteur cette année estimaient le volume mensuel du secteur à environ 21 milliards de dollars. Lorsque des flux de cette ampleur — financés en grande partie par les réseaux de cartes et des soldes en stablecoins, des tokens indexés sur le dollar couramment utilisés pour transférer des fonds vers les plateformes crypto — rencontrent une culture axée sur la vitesse, la capacité de conformité devient une composante essentielle du produit, et les utilisateurs évaluant le risque de plateforme entre les lieux doivent désormais l'intégrer aux côtés des frais et de la liquidité.

La capacité de conformité décide des gagnants

Les deux fils se rejoignent sur une même trajectoire : les marchés de prédiction ont dépassé l'infrastructure de contrôle qui les a menés jusqu'ici. Le registre même de la CFTC — la désignation DCM de QCX LLC — impose un niveau de surveillance que les décisions de février n'ont manifestement pas assuré, et l'enquête active, avec le personnel tenu de conserver les documents, signale que la facture pourrait encore arriver.

Avec le Bitcoin (BTC) se maintenant autour de 86 570 dollars au moment de la rédaction et les capitaux grand public se réorientant vers les plateformes de prédiction, les cas limites font désormais les gros titres plutôt que les forums de niche. Cette séquence ravive le plus ancien argument du maximalisme Bitcoin concernant le risque de plateforme — la thèse de longue date selon laquelle les détentions via intermédiaires comportent des risques que l'auto-conservation évite — et elle favorisera vraisemblablement les opérateurs, ainsi que des protections comme l'assurance DeFi, une couverture on-chain contre les défaillances de plateforme, conçus pour faire face à la surveillance.