De operatie met gestolen kaarten ter waarde van $10 miljoen

Oplichters hebben geprobeerd ongeveer $10 miljoen te verplaatsen via het Amerikaanse platform van Polymarket — een voorspelmarkt waar gebruikers contracten verhandelen die gekoppeld zijn aan echte uitkomsten — in een operatie met gestolen debetkaarten die in februari begon, aldus een onderzoek dat zaterdag werd gepubliceerd. De opzet was gebaseerd op gecompromitteerde kaarten die aan duizenden accounts waren gekoppeld en die werden gebruikt om inzetten te financieren, voordat de daders probeerden de opbrengsten op te nemen naar accounts onder hun controle. De aanvallers exploiteerden standaard kaartbetalingsinfrastructuur: Checkout.com, de verwerker van de deposits bij Polymarket, signaleerde de operatie en wees op het hoogtepunt meer dan 80% van de deposits bij Polymarket US af als frauduleus — tegen een branchenorm van circa 1%.

De activiteit was sterk geconcentreerd. Ongeveer zeven gebruikers waren verantwoordelijk voor het merendeel ervan, en één account alleen al probeerde circa 4.000 afzonderlijke deposits te doen. Het onderzoek bracht niet aan het licht hoeveel van de $10 miljoen het platform daadwerkelijk verliet, en een persoon die in de berichtgeving werd aangehaald zei dat de meeste depositpogingen mislukten.

De gevolgrijker onthulling zit in de interne reactie van Polymarket. Terwijl frauduleuze deposits zich opstapelden naast een achterstand van legitieme opnames, schrapte het management de eis dat fondsen moesten worden opgenomen naar dezelfde betaalbron die voor de deposits was gebruikt — de standaardbeveiliging die voorkomt dat opbrengsten van gestolen kaarten een schoon account bereiken. Medewerkers waarschuwden dat de wijziging witwassen uitnodigde; leidinggevenden zeiden de bestaande controles toereikend waren. CEO Shayne Coplan zou het personeel hebben opgedragen groei voorrang te geven en eventuele boetes van toezichthouders later te adresseren.

Chief compliance officer Andrew Clifford trad in april af nadat hij een gedetailleerd rapport over de fraude had ingediend. Amerikaans CEO Justin Hertzberg werd ontslagen, en ook de hoofden van Amerikaanse regulatie en anti-witwasbeleid van het bedrijf vertrokken. Een interne review door het advocatenkantoor Sullivan & Cromwell concludeerde dat het platform de regelgeving had nageleefd.

De fraudesnelheden keerden naar verluidt in mei terug naar branchenormen, nadat het platform het aantal debetkaarten dat een gebruiker kon koppelen had beperkt en screeningsleverancier Riskified had ingeschakeld. Eén afzonderlijke registratiefout eind juli stelde aanvallers die het Burgerservicenummer (Social Security number) van een slachtoffer in handen hadden vervolgens in staat ongeveer 500 accounts over te nemen — inclusief gekoppelde bankrekeningen en kaarten — zonder ook maar één wachtwoord te kennen. Het falen lag bij identiteitsverificatie, niet bij cryptografie: er stond nooit een privésleutel op het spel. De CFTC — de Commodity Futures Trading Commission, het federale agentschap dat toezicht houdt op de Amerikaanse derivatenmarkten — onderzoekt de fraude nu, en medewerkers is opgedragen documenten te bewaren.

Een door de CFTC aangewezen markt onder de loep

De compliance- reputatie weegt hier zwaarder dan bij een gemiddelde crypto-startup. De eigen registratiegegevens van de toezichthouder tonen dat QCX LLC, de entiteit die Polymarket US exploiteert, op 9 juli 2025 de status Designated Contract Market (DCM) ontving en nog steeds als zodanig is geregistreerd — waarmee het platform binnen het formele, federaal gecontroleerde derivatenregime van de VS valt in plaats van aan de rand ervan. Precies die status is de reden waarom kaartfraude, tekortkomingen in klantidentificatie en versoepelde opnamecontroles bij een geregistreerde instantie regelgevend gewicht dragen dat een inbreuk op een gedecentraliseerd protocol nooit zou hebben.

Druk vanuit de betalingskant versterkte dat beeld. Visa zou bezorgd zijn geweest over de piek in frauduleuze activiteit en heeft Checkout.com aangezet de controles op de geldstromen van Polymarket te verscherpen, waarna de verwerker op zijn beurt sterkere maatregelen van het platformiste.

Gegevens die via een openbaar-recordsverzoek zijn verkregen, tonen bovendien dat de CFTC vermoedelijk handelen met voorkennis op verschillende Polymarket-markten onderzocht — contracten gekoppeld aan gratiebeslissingen van een voormalige Amerikaanse president, aan Iran gerelateerde gebeurtenissen en de jaarlijkse zoekranglijsten van Google — waarbij een groep accounts op de Iran-markt circa $2,4 miljoen verzilverde en één trader op de gratiemarkt ongeveer $300.000.

Snelle groei te midden van toenemende inzet

De kapitaalmarkten hebben het groei-verhaal desondanks goed ontvangen. Polymarket haalt ongeveer $1 miljard op bij een waardering van $21 miljard, waarbij 1789 Capital van Donald Trump Jr. ongeveer $300 miljoen toevoegt bovenop de reeds geïnvesteerde $200 miljoen. Voormalig Amazon-financieel topman Warren Jenson is aangesteld als eerste CFO van het bedrijf, en er zou zijn gesproken over een beursgang (IPO) in 2027.

Maar schaal vergroot de inzet. Het eerste NFL-weekend van het seizoen 2026 leverde ongeveer $3,12 miljard aan voorspelmarktvolume op zondag op, en circa $3,17 miljard de dag ervoor op college football. Kalshi verwerkte in het weekend ongeveer $4,89 miljard, tegenover circa $404 miljoen voor Polymarket. Onderzoek uit de sector schatte het maandelijkse volume dit jaar op ongeveer $21 miljard. Wanneer instromen van die omvang — deels gefinancierd via kaartnetwerken en stablecoin-saldi, de aan de dollar gekoppelde tokens die vaak worden gebruikt om geld naar cryptoplatformen te verplaatsen — samenkomen met een cultuur waarin snelheid vooropstaat, wordt compliance-capaciteit een kerndondeel van het product, en moeten gebruikers die platformrisico's afwegen dit nu meewegen naast kosten en liquiditeit.

Compliance-capaciteit bepaalt de winnaars

Beide verhalen lopen uit op één lijn: voorspelmarkten zijn ontgroeid aan de controle-infrastructuur die ze tot hier heeft gebracht. Het eigen register van de CFTC — de DCM-status van QCX LLC — verplicht tot een mate van toezicht die de beslissingen van februari duidelijk niet leverden, en het lopende onderzoek, waarbij medewerkers is opgedragen documenten te bewaren, wijst erop dat de rekening mogelijk nog moet komen.

Nu Bitcoin (BTC) rond $86.570 houdt ten tijde van publicatie en hoofdstkapitaal roteert naar voorspelplatformen, verschijnen randgevallen nu op voorpagina's in plaats van in nichelforums. De reeks doet het oudste argument van Bitcoin-maximalisme over platformrisico herleven — de lang gekoesterde stelling dat interponeerde beleggingen risico's met zich meebrengen die zelfbeheer vermijdt — en zal waarschijnlijk in het voordeel werken van exploitanten, en beschermingen zoals DeFi-verzekering, on-chain dekking tegen platformuitval, die gebouwd zijn om aan scrutinie te weerstaan.