• Los estafadores intentaron unos 10 millones de dólares en depósitos con tarjetas robadas en Polymarket US a partir de febrero.
• Checkout.com rechazó más del 80% de los depósitos de Polymarket US en su punto máximo frente a una norma del 1% de la industria.
• Una cuenta de Polymarket intentó aproximadamente 4.000 depósitos separados durante el ataque.
La operación de tarjetas robadas de 10 millones de dólares
Los estafadores intentaron mover aproximadamente 10 millones de dólares a través de la plataforma de Polymarket en EE. UU. en una operación con tarjeta de débito robada que comenzó en febrero, vinculando tarjetas comprometidas a miles de cuentas, financiando apuestas y luego intentando retirar las ganancias a cuentas que controlaban. Los rieles de tarjetas tipo Tangem Pay del procesador de pagos son exactamente lo que los atacantes explotaron: Checkout.com, que gestionó los depósitos, señaló el esquema y, en su punto máximo, rechazó más del 80% de los depósitos de Polymarket en EE. UU. como fraudulentos, frente a una tasa estándar de la industria cercana al 1%. La actividad estuvo muy concentrada: aproximadamente siete usuarios representaron la mayor parte, y una sola cuenta intentó alrededor de 4.000 depósitos separados. La investigación, publicada el sábado, no estableció cuánto de los 10 millones de dólares realmente salió de la plataforma, y una persona citada en la información dijo que la mayoría de los depósitos intentados no tuvo éxito.
La divulgación más determinante se encuentra en la respuesta interna de Polymarket. Con depósitos fraudulentos acumulándose junto con un atraso de retiros legítimos, la dirección eliminó el requisito de que los fondos se retiraran desde la misma fuente de pago que los depositó: la salvaguarda estándar que impide que el producto de tarjetas robadas llegue a una cuenta limpia. Los empleados advirtieron que el cambio invitaba al lavado de dinero; los ejecutivos dijeron que los controles existentes eran suficientes. Según se informa, el CEO Shayne Coplan le dijo al personal que priorizara el crecimiento y que las posibles multas regulatorias se abordaran más adelante. El director de cumplimiento, Andrew Clifford, renunció en abril después de presentar un informe detallado sobre el fraude; el CEO de EE. UU., Justin Hertzberg, fue despedido, y también se marcharon los responsables de regulación en EE. UU. y de lucha contra el lavado de dinero de la compañía. Una revisión interna realizada por el despacho Sullivan & Cromwell concluyó que la plataforma había cumplido con las regulaciones.
Las tasas de fraude, según se informa, volvieron a los niveles habituales de la industria para mayo, después de que la plataforma limitó cuántas tarjetas de débito podía vincular un usuario e incorporó al proveedor de verificación Riskified. Luego, una falla de registro separada a finales de julio permitió a atacantes que tenían el número de Seguro Social de una víctima hacerse con alrededor de 500 cuentas —con cuentas bancarias y tarjetas vinculadas— sin saber ninguna contraseña: un fallo de identidad, más que uno criptográfico; nunca estuvo en juego una clave privada. Ahora la CFTC investiga el fraude, y se les ha pedido a los empleados que conserven los registros.
Un mercado designado por la CFTC bajo escrutinio
El historial de cumplimiento importa más aquí que en una startup cripto ordinaria. Los propios registros de registro del regulador muestran que QCX LLC, la entidad que opera Polymarket en EE. UU., recibió el estatus de Mercado de Contratos Designado (DCM) el 9 de julio de 2025 y sigue figurando como designada; eso coloca la plataforma dentro del régimen formal de derivados de EE. UU., supervisado a nivel federal, en lugar de en la periferia. Ese estatus es precisamente la razón por la cual el fraude con tarjetas, las brechas de identificación de clientes y la flexibilización de los controles de retiro en un lugar registrado conllevan un peso regulatorio que una brecha de un protocolo descentralizado nunca tendría.
La presión desde el lado de los pagos reforzó la imagen. Según se informa, Visa planteó preocupaciones por el aumento de la actividad fraudulenta y presionó a Checkout.com para que endureciera los controles sobre los flujos de Polymarket; a su vez, el procesador exigió medidas más sólidas a la plataforma. Los registros obtenidos mediante una solicitud de acceso a registros públicos también muestran que la CFTC examinó el posible trading con información privilegiada en varios mercados de Polymarket: contratos vinculados a indultos de un ex presidente de EE. UU., eventos relacionados con Irán y los rankings anuales de búsqueda de Google; un grupo de cuentas del mercado de Irán obtuvo alrededor de $2.4 millones y un operador del mercado de indultos, aproximadamente $300,000.
Los mercados de capitales han tratado la historia de crecimiento con benevolencia, independientemente: Polymarket está recaudando alrededor de $1 mil millones con una valoración de $21 mil millones, con 1789 Capital, de Donald Trump Jr., aportando unos $300 millones sobre los $200 millones ya invertidos; Warren Jenson, ex director financiero de Amazon, instalado como su primer CFO; y, según se informa, se ha comentado un IPO para 2027. Pero la escala aumenta lo que está en juego. El primer fin de semana de la NFL de la temporada 2026 produjo alrededor de $3.12 mil millones en volumen de mercado de predicción de los domingos y cerca de $3.17 mil millones el día anterior en fútbol universitario, con Kalshi moviendo aproximadamente $4.89 mil millones durante el fin de semana frente a los aproximadamente $404 millones de Polymarket. La investigación de la industria de este año estimó el volumen sectorial mensual cerca de $21 mil millones. Cuando entran flujos de ese tamaño —gran parte financiados mediante redes de tarjetas y saldos en stablecoins— y se encuentran con una cultura orientada a la velocidad, la capacidad de cumplimiento se convierte en el producto, y cualquier usuario que valore el riesgo de la plataforma entre sedes, desde nuestra guía sobre los mejores exchanges cripto hasta cualquier otra, ahora tiene que ponerle precio junto con las comisiones y la liquidez.
La capacidad de cumplimiento decide a los ganadores
Ambos hilos convergen en un solo arco: los mercados de predicción han superado la infraestructura de control que los trajo hasta aquí. El registro principal al que volvemos es el propio registro de la CFTC —la designación DCM de QCX LLC—, que obliga a un grado de supervisión que claramente no aportaron las decisiones de febrero, y la investigación activa, con personal ordenado a conservar registros, indica que la factura todavía podría llegar. Con Bitcoin (BTC) rondando los $86,570 al momento de cierre y el capital tradicional rotando hacia plataformas de predicción, los casos límite ahora aparecen en las portadas en lugar de en foros especializados; es el tipo de secuencia que reaviva el argumento más antiguo del maximalismo de Bitcoin sobre el riesgo de plataforma, y favorecerá a los operadores —y a protecciones como el seguro DeFi— construidos para el escrutinio.