Polymarket的美国平台通过传统支付系统接受美元入金，而其国际平台则在区块链上结算。这一分离对于理解近期报道的欺诈未遂事件中究竟哪里失守、以及区块链技术原本就无法防范什么，都是关键。该公司运营预测市场，用户可就现实世界事件的结果进行仓位交易。

根据9月20日发布的《华尔街日报》调查报道，一家支付处理商于2月警告Polymarket，其美国平台正被使用盗来的借记卡进行的存款大量涌入。支付处理商位于平台与银行卡网络之间，在交易结算前进行筛查。据称这些卡与数千个新创建的账户相关联。该处理商Checkout.com一度将其经手的超过80%的存款判定为欺诈并予以拒付——《华尔街日报》将这一数字与约1%的行业基准进行了对比。卡组织规则通常也会将有争议的欺诈扣款转回给接受该交易的商户。

窃贼试图转移至少1000万美元，但这一数字描述的是未遂交易，而非实际损失。高拒付率表明，处理商在相当大比例的交易完成之前就将其拦截。《华尔街日报》的报道仍属调查报道，而非公开的执法结论，且没有任何监管机构通过已公布的裁定认定Polymarket遭受了1000万美元的实际损失。

提款路径造成了可乘之机

拦截可疑存款只是防范银行卡欺诈的一部分。平台还必须控制资金从何处流出。

据《华尔街日报》报道，Polymarket美国平台最初要求提款必须返回到存款时所用的支付来源。该公司后来在试图减少客户提款延迟的过程中放宽了这一限制。

只将资金退回原卡，在卡过期或账户关闭时会给合法客户带来不便，同时也切断了将盗取资金转入其他账户的最简单途径。然而，一旦允许其他提款目的地，平台就必须确认两种支付方式均属于同一名经过验证的客户——这一判断取决于身份核验、处理商控制和账户监控n

Polymarket运营两套不同的系统

报道所涉的银行卡活动影响的是Polymarket美国平台，并非源自其国际区块链平台。

Polymarket美国平台通过QCX运营，美国商品期货交易委员会将其列为指定合约市场——该资质专为符合联邦核心原则并持续接受CFTC监管的交易所保留。美联社的一篇综述将Polymarket的美国受监管业务描述为基于美元，与其国际加密货币产品相互独立。

Polymarket.com运行在不同的基础设施上。其文档将pUSD描述为Polygon上的ERC-20代币，由锚定美元的稳定币USDC支持。订单通过订单簿撮合，而已完成的交易则通过区块链合约结算。

两个产品使用同一个Polymarket品牌。因此，即便区块链合约本身运行正常，美元入口处的问题也可能损害外界对整个公司的信心。

账本能看到什么——以及看不到什么

区块链可以记录哪些地址转移了资产、每笔交易何时发生、哪个合约处理了交易，以及链上资金随后流向何处。但它无法独立验证支付卡是否被盗、客户账户由谁控制、身份文件是否真实，以及提款是否经过授权。

换言之，账本可以揭示交易之后的资金路径，却无法证明资金的原始来源是否合法。

另一起7月缺陷据称暴露了现有账户

7月的事件并非2月盗卡行动的延续。据《华尔街日报》报道，7月下旬，近500名Polymarket美国客户受到另一次攻击的影响，该攻击似乎利用了账户创建流程中的一个缺陷。

据称，攻击者利用一名现有客户被盗的个人信息即可创建账户，并访问该客户的现有档案——包括关联的银行卡和银行账户——而无需知道原始用户名或密码。

《华尔街日报》未提供该事件的总损失数字，称整体金额有限，但个别用户表示损失了数千美元。一位Polymarket女发言人表示，公司将赔付该事件中损失的资金。

CFTC监管如今面临实际考验

注册为指定合约市场确立了监管监督和运营责任，但并不能在技术上杜绝银行卡欺诈、身份盗用或账户接管。

此案发生之际，CFTC正尝试运用其已有权力推进数字资产规则。在更广泛的立法在国会陷入停滞之后，该机构近期已将一份加密市场提案提交白宫。

对Polymarket美国平台而言，相关问题已不再是CFTC是否与该平台存在监管关系——它已经存在。问题在于该交易所的客户核验、提款流程以及对未授权交易的处理，能否达到这一资质所附带的义务要求。

《华尔街日报》还向CEO Shayne Coplan归因了一项据称的言论，暗示公司应继续增长，若监管机构介入则接受罚款。该说法来自据称熟悉内部讨论的人士，尚未在任何公开监管裁定中得到确认。

Polymarket的公开回应强调了新的领导层任命、基础设施改进和负责任的扩张。已发布的声明未直接回应归因于Coplan的据称言论。

可能受影响的客户应检查哪些事项

有疑虑的客户可以采取以下实际步骤：

• 通过银行或发卡机构冻结受影响的银行卡。
• 检查账户登录会话并更改已被泄露的登录凭据。
• 移除无法识别的银行卡或提款目的地。
• 保存支持性记录，包括账单、电子邮件和交易标识符。
• 分别向支付服务提供商和Polymarket报告未授权活动。

银行记录、平台日志和区块链交易记录的是事件的不同阶段。由于没有任何单一记录能提供完整的全过程，保留全部三者可能是必要的。

Polymarket的增长如今取决于用户看不到的管控

公开市场和区块链交易让外部人士得以审视价格、交易和资产流动。但客户无法检查那些批准入金、关联身份或授权提款的私有系统。这使得Polymarket的下一场考验不如其交易量那样显眼。

赔付时间、欺诈披露、账户恢复流程以及任何监管结论，将更有力地证明该公司的管控是否已跟上其扩张步伐。如果Polymarket希望以区块链透明度支撑其品牌的机构信任，它就需要对链前和链后运行的系统提供同等程度的透明。

本文仅供参考。归因于外部报道的指控可能随着更多信息或监管结论的出现而变化。