Polymarketの米国プラットフォームは従来の決済システムを通じてドルを受け入れる一方、同社の国際プラットフォームはブロックチェーン上で決済を行う。この分離は、最近報道された不正取引未遂で何が失敗したのか、そしてブロックチェーン技術では決して防げなかったものは何かを理解するうえで中心となる。同社は予測市場を運営しており、ユーザーは現実のイベントの結果についてポジションを売買する。

ウォール・ストリート・ジャーナルの調査報道（9月20日発表）によると、2月、決済プロセッサーはPolymarketに対し、米国プラットフォームに盗難デビットカードによる入金が大量に流れ込んでいると警告した。決済プロセッサーはプラットフォームとカードネットワークの間に位置し、取引が確定する前に審査を行う。盗難カードは数千の新規作成アカウントに結び付けられていたとされる。一時期、プロセッサーのCheckout.comは、扱った入金の80%超を不正と分類して拒否した。この数値は、ジャーナルが業界の基準値である約1%と対比したものである。また、カードネットワークの規則では一般に争われた不正請求はそれを受け入れた加盟店に返される。

窃盗犯は少なくとも1,000万ドルの送金を試みたが、この数値は未遂取引を示すものであり、完了した損失ではない。高い拒否率は、プロセッサーが取引の相当部分を完了前に阻止したことを示している。ジャーナルの報道は調査報道であり、公的な執行認定ではない。規制当局は、Polymarketが1,000万ドルの損失を確定的に被ったとする公表された命令を出していない。

出金経路が隙を作った

不審な入金を阻止することは、カード不正防止の一部にすぎない。プラットフォームは、資金が出ていく先も管理しなければならない。

ジャーナルの報道によると、Polymarket USは当初、出金を入金に使用された支払い元に戻すことを求めていた。同社はその後、顧客の出金の遅延を減らそうとする中でこの制限を緩和した。

資金を元のカードにのみ返還することは、カードの有効期限切れやアカウント閉鎖の際に正規の顧客に不便を強いる可能性がある。一方で、盗まれた資金を別のアカウントに移す最も簡単な経路も断つことになる。しかし、別の出金先が許可されると、プラットフォームは両方の支払い方法が同一の確認済み顧客に属することを証明しなければならない。この判断は、本人確認、プロセッサーの管理、アカウント監視に依存する。

Polymarketは2つの異なるシステムを運営している

報道されたカードの不正活動が影響したのはPolymarket USであり、同社の国際ブロックチェーンプラットフォームで発生したものではない。

Polymarket USはQCXを通じて運営されており、米商品先物取引委員会（CFTC）はこれを指定契約市場として登録している。この地位は、連邦の中核原則を満たし、CFTCの継続的な監督下にある取引所に与えられるものである。Associated Pressの調査は、Polymarketの米国事業をドル建てであり、国際的な暗号資産製品とは別の規制対象事業と描写している。

Polymarket.comは異なるインフラ上で動作している。同社のドキュメントは、pUSDをPolygon上のERC-20トークンで、米ドル連動型ステーブルコインUSDCに裏付けられたものと説明している。注文はオーダーブックを通じてマッチングされ、完了した取引はブロックチェーンコントラクトを通じて決済される。

両製品は同じPolymarketブランドを冠している。そのため、ブロックチェーンコントラクト自体が意図どおりに機能していても、ドル建ての入口での問題は会社全体の信頼を損なう可能性がある。

台帳が見るもの、見えないもの

ブロックチェーンは、どのアドレスが資産を移転したか、各取引がいつ発生したか、どのコントラクトが取引を処理したか、オンチェーン上の資金がその後どこへ移動したかを記録できる。しかし、支払いカードが盗まれたかどうか、誰が顧客アカウントを管理していたか、身分証明書が本物かどうか、出金が承認されたものかどうかを独自に検証することはできない。

つまり、台帳は取引後の資金の経路を明らかにすることはできても、その元の資金源が正当であったことを証明するものではない。

7月には別の不具合で既存アカウントが流出したと報道

7月の事件は、2月の盗難カード作戦の続きではなかった。ジャーナルによると、7月下旬、Polymarket USの約500人の顧客が、アカウント作成の不具合を悪用したとみられる別の攻撃の影響を受けた。

既存顧客の盗まれた個人情報を使用することで、攻撃者は元のユーザー名やパスワードを知らなくてもアカウントを作成し、連携されたカードや銀行口座を含む既存の顧客プロフィールにアクセスできたとされる。

ジャーナルはこの件の損失総額を明示していないが、全体の額は限定的でありながら、個々のユーザーは数千ドルの損失を報告していると伝えた。Polymarketの広報担当者は、この事件で失われた資金を同社が補償するとべた。

CFTCの監督が実践的な試練に

指定契約市場としての登録は、規制監督と運営上の責任を確立する。しかし、カード不正、なりすまし、アカウント乗っ取りを技術的に不可能にするものではない。

この事案は、CFTCがすでに持つ権限を通じてデジタル資産の規則を進めようとしている時期に到来した。同庁は最近、より広範な法案が議会で停滞した後、暗号資産市場の提案をホワイトハウスに送付したばかりである。

Polymarket USにとって、CFTCが同プラットフォームと関係を持つかどうかはもはや問題ではない。すでに持っている。問題は、取引所の顧客審査、出金手続き、不正取引への対応が、その地位に付随する義務に見合っているかどうかである。

ジャーナルはまた、CEOのShayne Coplanが、規制当局が介入した場合には罰金に対応しながら成長を続けるべきだと示唆したとされる発言を報じた。この説明は内部議論に詳しいとされる人物らによるもので、公的な規制認定として確立されたものではない。

Polymarketの公開された回答は、新たなリーダーシップ体制の人事、インフラの改善、責任ある拡大を強調した。公表された声明は、Coplanに帰せられた発言には直接言及しなかった。

影響を受けた可能性のある顧客が確認すべきこと

懸念を持つ顧客は、いくつかの実践的な措置を講じることができる：

• 影響を受けたカードを銀行または発行元を通じて凍結する。
• アカウントのセッションを確認し、漏えいしたログイン認証情報を変更する。
• 見覚えのないカードや出金先を削除する。
• 明細書、メール、取引識別子を含む証拠記録を保存する。
• 不正な活動については、決済プロバイダーとPolymarketの両方に別々に報告する。

銀行記録、プラットフォームのログ、ブロックチェーン取引は、事件の異なる段階を記録するものである。単一の記録では全体の流れが分からないため、3つすべてを保管する必要がある場合がある。

Polymarketの成長は今や、ユーザーから見えない管理にかかっている

公開市場とブロックチェーン取引により、部外者は価格、取引、資産の動きを調べることができる。しかし客は、入金を承認し、本人確認を結び付け、出金を承認する内部システムを検証することはできない。それにより、Polymarketの次の試練は取引量ほど目立たないものとなる。

返金にかかる時間、不正の開示、アカウント復旧手続き、および今後の規制認定は、同社の管理体制が拡大に追いついたかどうかを示すより確かな証拠となるだろう。Polymarketがブロックチェーンの透明性によってブランドへの機関投資家の信頼を支えたいのであれば、チェーンの前後で稼働するシステムについても同等の明確さが求められる。

本記事は情報提供のみを目的としている。外部報道に基づく主張は、追加情報や規制認定が得られるにつれて変更される可能性がある。