1000万美元盗卡操作

据周六发布的一项调查，欺诈者试图通过 Polymarket 的美国平台——一个用户交易与现实世界结果挂钩合约的预测市场——转移约1000万美元，这是一项始于2月的盗用借记卡操作。该计划依赖与数千个账户关联的失窃卡片，这些账户被用于注资下注，随后作案者试图将收益提现至其控制的账户。攻击者利用的是标准银行卡支付通道：负责处理 Polymarket 存款的 Checkout.com 标记了这一骗局，并在高峰期将超过80%的 Polymarket 美国存款判定为欺诈予以拒绝——而行业标准拒绝率约为1%。

该活动高度集中。约七名用户构成了绝大部分，其中仅一个账户就尝试了约4,000笔独立存款。调查未能确定这1000万美元中实际有多少离开了平台，一位被报道引用的人士表示，大多数存款尝试均告失败。

更具影响的披露在于 Polymarket 的内部应对。在欺诈性存款不断堆积、合法提现积压之际，管理层取消了资金必须提现至与存款相同支付来源的要求——这正是阻止盗卡收益流入干净账户的标准保障措施。员工警告此举会招致洗钱；高管则称现有控制已足够。据报道，CEO Shayne Coplan 要求员工优先考虑增长，监管罚款日后再说。

首席合规官 Andrew Clifford 在提交关于该欺诈的详细报告后于4月辞职。美国 CEO Justin Hertzberg 被解雇，公司负责美国监管和反洗钱的负责人也相继离职。律师事务所 Sullivan & Cromwell 的内部审查认定该平台符合监管规定。

据报道，在平台限制用户可关联的借记卡数量并引入风控服务商 Riskified 之后，欺诈率于5月恢复至行业常规水平。7月下旬，另一起注册漏洞使持有受害者社会安全号的攻击者无需知晓任何密码即可接管约500个账户——包括已关联的银行账户和银行卡。这是身份验证而非密码学层面的：私钥从未受到威胁。CFTC——美国商品期货交易委员会，监管美国衍生品市场的联邦机构——目前正在调查这一欺诈行为，并要求员工保存相关记录。

受到审视的 CFTC 指定市场

合规记录在此处比在普通加密初创企业更为重要。监管机构自身的注册记录显示，运营 Polymarket 美国业务的实体 QCX LLC 于2025年7月9日获得指定合约市场（DCM）地位，且目前仍被列为指定市场——使该平台处于美国正式的联邦监管衍生品体系之内，而非其边缘。正因如此，注册场所发生的银行卡欺诈、客户身份识别缺失和提现控制放松，才具有去中心化协议漏洞永远不会具备的监管分量。

支付端的压力进一步印证了这一图景。据报道，Visa 对欺诈活动激增表示担忧，并推动 Checkout.com 收紧对 Polymarket 资金流的控制，该处理商随后也要求平台采取更有力的措施。

通过公开记录申请获得的记录还显示，CFTC 曾审查 Polymarket 多个市场上涉嫌内幕交易的行为——涉及美国前总统赦免、伊朗相关事件以及 Google 年度搜索排名的合约——其中一组伊朗市场账户获利约240万美元，一名赦免市场交易员获利约30万美元。

风险上升中的快速增长

尽管如此，资本市场仍对这一增长故事青睐有加。Polymarket 正以210亿美元估值融资约10亿美元，Donald Trump Jr. 的 1789 Capital 在已投资的2亿美元基础上追加约3亿美元。前 Amazon 财务负责人 Warren Jenson 已出任公司首任 CFO，据报道公司还讨论了2027年 IPO。

但规模扩大也加剧了风险。2026赛季首个 NFL 周日在预测市场产生约31.2亿美元的交易量，前一天大学橄榄球相关交易量约为31.7亿美元。Kalshi 整个周末的交易额约为48.9亿美元，而 Polymarket 约为4.04亿美元。行业研究估计今年该行业月交易量接近210亿美元。当如此规模的资金流入——其中大部分通过银行卡网络和稳定币余额（常用于将资金转入加密场所的锚定美元代币）提供——遇上速度优先的文化时，合规能力就成为产品的核心组成部分，用户在评估各平台风险时也必须将其与费用和流动性一并纳入考量。

合规能力决定赢家

两条线索归结于同一个主线：预测市场的增长已超出支撑其走到今天的控制基础设施。CFTC 自身的登记记录——QCX LLC 的 DCM 指定——要求相当程度的监督，而2月的决策显然未能兑现；正在进行的调查以及要求员工保存记录的指令表明，账单可能仍未结清。

随着比特币（BTC）在发稿时保持在约86,570美元附近、主流资本轮动进入预测平台，极端案例如今登上头版而非小众论坛。这一连串事件重新点燃了比特币极简主义关于平台风险的最古老论点——即中介持仓承载着自我托管可以避免的风险——并且很可能青睐那些为审视而生的运营商，以及 DeFi 保险（针对平台故障的链上保障）之类的保护措施。