• Des fraudeurs ont tenté environ 10 millions de dollars de dépôts par cartes volées sur Polymarket US à partir de février.
• Checkout.com a rejeté plus de 80 % des dépôts de Polymarket US au plus fort de l’attaque, contre une norme de 1 % dans l’industrie.
• Un compte de Polymarket a tenté environ 4 000 dépôts distincts au cours de l’attaque.
L’opération de carte bancaire volée de 10 millions de dollars
Des fraudeurs ont tenté de faire transiter environ 10 millions de dollars via la plateforme américaine de Polymarket dans le cadre d’une opération utilisant des cartes de débit volées, lancée en février. Ils ont relié des cartes compromises à des milliers de comptes, financé des paris, puis tenté de retirer les gains vers des comptes qu’ils contrôlaient. Les “rails” de carte de type Tangem Pay côté processeur de paiement sont exactement ce que les attaquants ont exploité : Checkout.com, qui a géré les dépôts, a signalé le stratagème et, à son apogée, a refusé plus de 80 % des dépôts de Polymarket U.S. comme frauduleux — contre un taux proche de 1 % en moyenne dans l’industrie. L’activité était très concentrée : environ sept utilisateurs représentaient l’essentiel, et un seul compte a tenté à lui seul environ 4 000 dépôts distincts. L’enquête, publiée samedi, n’a pas établi quelle part des 10 millions de dollars a réellement quitté la plateforme, et une personne citée dans l’article a déclaré que la plupart des dépôts tentés ont échoué.
La divulgation la plus déterminante se trouve dans la réponse interne de Polymarket. Alors que des dépôts frauduleux s’accumulaient, accompagnés d’un arriéré de retraits légitimes, la direction a supprimé l’exigence selon laquelle les fonds devaient être retirés vers la même source de paiement ayant servi au dépôt — la garantie standard qui empêche le produit de cartes volées d’atteindre un compte « propre ». Les employés ont averti que ce changement invitait au blanchiment d’argent ; les dirigeants ont affirmé que les contrôles existants étaient suffisants. Le PDG Shayne Coplan aurait dit au personnel de privilégier la croissance et de traiter toute amende réglementaire plus tard. Le directeur de la conformité, Andrew Clifford, a démissionné en avril après avoir soumis un rapport détaillé sur la fraude ; le PDG des États-Unis, Justin Hertzberg, a été licencié, et les responsables de la réglementation américaine et de la lutte contre le blanchiment d’argent de l’entreprise sont également partis. Un examen interne mené par le cabinet Sullivan & Cromwell a conclu que la plateforme avait respecté les réglementations.
Les taux de fraude seraient revenus aux normes de l’industrie d’ici mai, après que la plateforme a plafonné le nombre de cartes de débit qu’un utilisateur pouvait associer et a fait appel au prestataire de filtrage Riskified. Un autre défaut d’inscription, fin juillet, a ensuite permis à des attaquants disposant du numéro de sécurité sociale d’une victime de prendre le contrôle d’environ 500 comptes — avec des comptes bancaires et des cartes associés — sans connaître aucun mot de passe : une défaillance d’identité, et non cryptographique — aucune clé privée n’était en jeu. La CFTC enquête désormais sur la fraude, et des consignes ont été données au personnel pour conserver les documents.
Un marché désigné par la CFTC fait l’objet d’un examen
Ici, le dossier de conformité compte davantage que dans une start-up crypto ordinaire. Les propres registres d’inscription du régulateur montrent que QCX LLC, l’entité qui opère Polymarket aux États-Unis, a reçu le statut de Marché de Contrats Désigné (DCM) le 9 juillet 2025 et y demeure inscrite — plaçant la plateforme au cœur du régime officiel des dérivés, sous supervision fédérale des États-Unis, plutôt qu’en marge. C’est précisément ce statut qui donne un poids réglementaire aux fraudes par carte, aux lacunes d’identification des clients et au relâchement des contrôles de retrait dans un site enregistré, là où une brèche d’un protocole décentralisé ne le ferait jamais.
La pression venant du volet paiements renforce l’ensemble du tableau. Visa aurait soulevé des inquiétudes face à la hausse des activités frauduleuses et aurait poussé Checkout.com à renforcer les contrôles sur les flux de Polymarket, le processeur exigeant à son tour des mesures plus strictes de la plateforme. Des documents obtenus via une demande de documents publics montrent aussi que la CFTC a examiné des soupçons de délit d’initié concernant plusieurs marchés de Polymarket — des contrats liés aux grâces d’un ancien président américain, des événements liés à l’Iran et les classements annuels de recherche de Google — un groupe de comptes liés au marché iranien ayant généré environ 2,4 millions de dollars, et un trader du marché des grâces environ 300 000 dollars.
Les marchés des capitaux ont plutôt bien accueilli l’histoire de la croissance, quoi qu’il arrive : Polymarket lève environ 1 milliard de dollars avec une valorisation de 21 milliards, et 1789 Capital, le fonds de Donald Trump Jr., ajoute quelque 300 millions de dollars par-dessus les 200 millions déjà investis ; Warren Jenson, ancien directeur financier d’Amazon, installé comme son premier directeur financier, et une introduction en bourse aurait été discutée pour 2027. Mais l’échelle fait monter les enjeux. Le premier week-end de la NFL de la saison 2026 a produit environ 3,12 milliards de dollars de volume sur les marchés de paris prédictifs le dimanche et quelque 3,17 milliards la veille, pour le football universitaire ; Kalshi a réalisé environ 4,89 milliards sur le week-end contre environ 404 millions pour Polymarket. Des recherches sectorielles menées cette année ont estimé le volume mensuel du secteur à près de 21 milliards. Quand des flux de cette taille — une grande partie financée via des réseaux de cartes et des soldes en stablecoins — rencontrent une culture axée sur la vitesse, la capacité de conformité devient le produit, et tout utilisateur évaluant le risque de plateforme, sur plusieurs sites, de notre guide des meilleures plateformes d’échanges crypto jusqu’à la suite, doit désormais le chiffrer en même temps que les frais et la liquidité.
La capacité de conformité décide des gagnants
Les deux fils aboutissent à une même trajectoire : les marchés de prédiction ont dépassé l’infrastructure de contrôle qui leur a permis d’atteindre ce niveau. Le principal élément sur lequel on revient sans cesse est le registre de la CFTC — la désignation DCM de QCX LLC — qui impose un degré de supervision que les décisions de février n’ont manifestement pas apporté, et l’enquête en cours, avec des instructions au personnel pour conserver les documents, indique que la facture pourrait encore arriver. Alors que Bitcoin (BTC) se maintient près de 86 570 dollars au moment de la publication et que les capitaux grand public se réorientent vers les plateformes de prédiction, les cas limites apparaissent désormais en une plutôt que dans des forums spécialisés ; c’est le type de séquence qui ravive l’argument le plus ancien du maximalisme Bitcoin au sujet du risque de plateforme, et il avantagera les opérateurs — ainsi que des protections telles que l’assurance DeFi — conçus pour être scrutés.