L'operazione da 10 milioni di dollari con carte rubate

Secondo un'inchiesta pubblicata sabato, dei truffatori hanno tentato di muovere circa 10 milioni di dollari sulla piattaforma statunitense di Polymarket — un mercato predittivo in cui gli utenti negoziano contratti legati a eventi del mondo reale — attraverso un'operazione con carte di debito rubate avviata a febbraio. Lo schema si basava su carte compromesse collegate a migliaia di account, utilizzate per finanziare scommesse prima che i responsabili tentassero di prelevare i proventi su controlli sotto il loro controllo. Gli attaccanti hanno sfruttato le normali infrastrutture di pagamento con carta: Checkout.com, il processore che gestisce i depositi di Polymarket, ha segnalato l'operazione e ha giunto fino a respingere oltre l'80% dei depositi di Polymarket US come fraudolenti — contro un tasso standard di settore vicino all'1%.

L'attività era altamente concentrata. Circa sette utenti hanno accounted per la maggior parte di essa, e un solo account ha tentato circa 4.000 depositi separati. L'inchiesta non ha stabilito quanto dei 10 milioni di dollari sia effettivamente uscito dalla piattaforma, e una persona citata nel servizio ha dichiarato che la maggior parte dei depositi tent è fallita.

La rivelazione più consequenziale riguarda la risposta interna di Polymarket. Con i depositi fraudolenti in aumento insieme a un arretrato di prelievi legittimi, la dirigenza ha eliminato il requisito che i fondi vengano prelevati sulla stessa fonte di pagamento utilizzata per i depositi — la tutela standard che impedisce ai proventi di carte rubate di raggiungere un conto pulito. I dipendenti hanno avvertito che la modifica invitava al riciclaggio di denaro; i dirigenti hanno sostenuto che i controlli esistenti fossero sufficienti. Il CEO Shayne Coplan avrebbe detto al personale di dare priorità alla crescita e di occuparsi eventualmente di sanzioni regolamentari in un secondo momento.

Il chief compliance officer Andrew Clifford si è dimesso ad aprile dopo aver presentato un rapporto dettagliato sulla frode. Il CEO USA Justin Hertzberg è stato licenziato, e anche i responsabili della regolamentazione USA e dell'antiriciclaggio dell'azienda hanno lasciato l'incarico. Una revisione interna dello studio legale Sullivan & Cromwell ha concluso che la piattaforma aveva rispettato le normative.

I tassi di frode sarebbero tornati ai livelli di settore entro maggio, dopo che la piattaforma ha limitato il numero di carte di debito collegabili per utente e ha introdotto il fornitore di screening Riskified. Un difetto separato nella registrazione a fine luglio ha quindi permesso ad attaccanti in possesso del numero di previdenza sociale di una vittima di prendere il controllo di circa 500 account — con conti bancari e carte collegati — senza conoscere alcuna password. Il guasto riguardava la verifica dell'identità e non la crittografia: nessuna chiave privata è mai stata a rischio. La CFTC — la Commodity Futures Trading Commission, l'agenzia federale che sovrintende ai mercati statunitensi dei derivati — sta ora indagando sulla frode, e al personale è stato ordinato di conservare i documenti.

Un mercato designato dalla CFTC sotto esame

Il track record di compliance conta qui più di quanto farebbe per una normale startup cripto. I registri di registrazione dello stesso regolatore mostrano che QCX LLC, l'entità che gestisce Polymarket US, ha ricevuto lo status di Designated Contract Market (DCM) il 9 luglio 2025 e risulta ancora designata — collocando la piattaforma all'interno del regime formale dei derivati supervisionato a livello federale negli Stati Uniti, piuttosto che alla sua periferia. È proprio questo status il motivo per cui frodi con carte, lacune nell'identificazione dei clienti e controlli sui prelievi allentati in una sede registrata hanno un peso regolamentare che violazione di un protocollo decentralizzato non avrebbe mai.

La pressione dal fronte dei pagamenti ha rafforzato il quadro. Secondo le ricostruzioni, Visa ha sollevato preoccupazioni per l'ondata di attività fraudolente e ha spinto Checkout.com a inasprire i controlli sui flussi di Polymarket, con il processore che a sua volta ha richiesto misure più forti alla piattaforma.

Documenti ottenuti tramite una richiesta di accesso agli atti pubblici mostrano inoltre che la CFTC ha esaminato sospetti insider trading su diversi mercati di Polymarket — contratti legati alle grazie di un ex presidente statunitense, a eventi legati all'Iran e alle classifiche annuali di ricerca di Google — con un gruppo di account sui mercati legati all'Iran che ha incassato circa 2,4 milioni di dollari e un trader sul mercato delle grazie circa 300.000 dollari.

Rapida crescita con posta in gioco crescente

I mercati dei capitali hanno comunque trattato bene la storia di crescita. Polymarket sta raccogliendo circa 1 miliardo di dollari con una valutazione di 21 miliardi, con la 1789 Capital di Donald Trump Jr. che aggiunge circa 300 milioni di dollari ai 200 milioni già investiti. L'ex direttore finanziario di Amazon Warren Jenson è stato nominato primo CFO dell'azienda, e una quotazione in borsa (IPO) sarebbe stata discussa per il 2027.

Ma la scala aggrava i rischi. Il primo weekend NFL della stagione 2026 ha generato circa 3,12 miliardi di dollari di volumi sui mercati predittivi domenica e circa 3,17 miliardi il giorno precedente sul football universitario. Kalshi ha movimentato circa 4,89 miliardi di dollari nell'arco del weekend, contro i circa 404 milioni di Polymarket. Una ricerca di settore di quest'anno ha stimato i volumi mensili del settore intorno ai 21 miliardi di dollari. Quando flussi di questa entità — gran parte dei quali finanziati tramite circuiti di carte e saldi in stablecoin, i token ancorati al dollaro comunemente usati per spostare denaro verso le piattaforme cripto — incontrano una cultura orientata alla velocità, la capacità di compliance diventa una parte centrale del prodotto, e gli utenti che valutano il rischio di piattaforma tra le varie sedi devono ora prezzarlo insieme a commissioni e liquidità.

La capacità di compliance decide i vincitori

Entrambi i filoni convergono verso un'unica traiettoria: i mercati predittivi sono cresciuti oltre l'infrastruttura di controllo che li ha portati fin qui. Il registro stesso della CFTC — la designazione DCM di QCX LLC — impone un livello di supervisione che le decisioni di febbraio manifestamente non hanno garantito, e l'indagine in corso, con il personale ordinato di conservare i documenti, segnala che il conto potrebbe ancora arrivare.

Con Bitcoin (BTC) che si mantiene vicino a 86.570 dollari al momento della scrittura e i capitali mainstream che ruotano verso piattaforme predittive, i casi limite ora emergono sulle prime pagine anziché nei forum di nicchia. La sequenza riporta in auge il più antico argomento del Bitcoin maximalism sul rischio di piattaforma — l'affermazione di lunga data che gli asset custoditi tramite intermediari comportano rischi evitati dall'autocustodia — e sarà probabilmente a favore degli operatori, e delle tutele come le assicurazioni DeFi, la copertura on-chain contro il fallimento delle piattaforme, costruiti per resistere al controllo.