• Pelaku penipuan mencoba sekitar $10 juta dalam setoran kartu curian di Polymarket US mulai Februari.

• Checkout.com menolak lebih dari 80% setoran Polymarket US pada puncaknya, dibanding norma industri sekitar 1%.

• Satu akun Polymarket mencoba sekitar 4.000 setoran terpisah selama serangan.

Operasi Pencurian Kartu Debit senilai $10 Juta

Pelaku penipuan mencoba memindahkan sekitar $10 juta melalui platform Polymarket di AS dalam operasi kartu debit curian yang dimulai pada Februari, mengaitkan kartu-kartu yang telah disusupi ke ribuan akun, mendanai taruhan, lalu mencoba menarik hasilnya ke akun yang mereka kendalikan. Jalur kartu bergaya payment processor Tangem Pay persis seperti yang dieksploitasi para penyerang: Checkout.com, yang menangani setoran, menandai skema tersebut dan pada puncaknya menolak lebih dari 80% setoran Polymarket AS sebagai penipuan—jauh di atas tingkat standar industri yang mendekati 1%. Aktivitas ini sangat terkonsentrasi: sekitar tujuh pengguna menyumbang sebagian besar, dan satu akun saja mencoba sekitar 4.000 setoran terpisah. Investigasi yang diterbitkan pada Sabtu ini tidak menetapkan berapa banyak dari $10 juta tersebut benar-benar keluar dari platform, dan seorang narasumber yang dikutip dalam laporan mengatakan sebagian besar setoran yang dicoba gagal.

Pengungkapan yang lebih berdampak terletak pada respons internal Polymarket. Ketika setoran penipuan menumpuk bersamaan dengan antrean penarikan yang sah, pimpinan menghapus persyaratan bahwa dana harus ditarik ke sumber pembayaran yang sama yang menyetorkannya — standar pengaman yang mencegah hasil kartu curian mengalir ke rekening yang bersih. Karyawan memperingatkan perubahan itu mengundang pencucian uang; eksekutif mengatakan kontrol yang ada sudah cukup. CEO Shayne Coplan dilaporkan menyuruh staf untuk memprioritaskan pertumbuhan dan menangani denda regulasi belakangan. Chief compliance officer Andrew Clifford mengundurkan diri pada April setelah mengajukan laporan rinci tentang penipuan; CEO AS Justin Hertzberg dipecat, dan kepala bagian regulasi AS serta anti-pencucian uang perusahaan itu juga turut pergi. Tinjauan internal oleh firma hukum Sullivan & Cromwell menyimpulkan platform tersebut telah mematuhi regulasi.

Tingkat penipuan dilaporkan kembali ke norma industri pada bulan Mei, setelah platform membatasi berapa banyak kartu debit yang dapat ditautkan pengguna dan menghadirkan vendor penyaringan Riskified. Kerentanan pendaftaran terpisah pada akhir Juli kemudian memungkinkan penyerang yang memegang nomor Jaminan Sosial (Social Security) milik korban untuk mengambil alih sekitar 500 akun — dengan rekening bank dan kartu yang ditautkan — tanpa mengetahui kata sandi apa pun; ini merupakan kegagalan identitas, bukan kegagalan kriptografis: tidak ada kunci privat yang dipertaruhkan. Kini, CFTC sedang menyelidiki penipuan tersebut, dan staf telah diberi instruksi untuk menyimpan catatan.

Pasar yang Ditunjuk CFTC Dalam Sorotan

Di sini, catatan kepatuhan lebih penting daripada yang biasanya terjadi pada startup kripto biasa. Catatan pendaftaran regulator itu sendiri menunjukkan QCX LLC, entitas yang menjalankan Polymarket AS, menerima status Designated Contract Market (DCM) pada 9 Juli 2025 dan tetap terdaftar sebagai pihak yang ditunjuk — menempatkan platform tersebut di dalam rezim derivatif formal Amerika Serikat yang diawasi secara federal, bukan di pinggirannya. Status itulah yang membuat penipuan kartu, celah identifikasi pelanggan, dan pelonggaran kontrol penarikan pada venue yang terdaftar membawa bobot regulatori yang tidak akan pernah dimiliki oleh kebobolan protokol terdesentralisasi.

Tekanan dari sisi pembayaran memperkuat gambaran tersebut. Visa dilaporkan mengangkat kekhawatiran atas lonjakan aktivitas penipuan dan mendorong Checkout.com untuk memperketat kontrol atas arus Polymarket, sementara prosesor tersebut pada gilirannya menuntut langkah yang lebih kuat dari platform. Catatan yang diperoleh melalui permintaan catatan publik juga menunjukkan CFTC menelaah dugaan perdagangan orang dalam (insider trading) pada beberapa pasar Polymarket — kontrak yang terkait dengan grasi presiden AS terdahulu, peristiwa terkait Iran, serta peringkat pencarian tahunan Google — dengan sekelompok akun pasar Iran memperoleh sekitar $2,4 juta dan satu pedagang pasar grasi sekitar $300.000.

Pasar modal memperlakukan kisah pertumbuhan itu dengan baik tanpa banyak mengganggu: Polymarket sedang mengumpulkan dana sekitar $1 miliar dengan valuasi $21 miliar, dengan 1789 Capital milik Donald Trump Jr. menambahkan sekitar $300 juta di atas $200 juta yang sudah diinvestasikan, mantan kepala keuangan Amazon Warren Jenson dipasang sebagai CFO pertamanya, dan IPO dilaporkan sedang dibahas untuk tahun 2027. Namun skala mempertajam taruhannya. Akhir pekan pertama NFL pada musim 2026 menghasilkan volume pasar prediksi Minggu sekitar $3,12 miliar dan sekitar $3,17 miliar pada hari sebelumnya untuk sepak bola kampus, dengan Kalshi meraup sekitar $4,89 miliar selama akhir pekan tersebut dibanding Polymarket yang sekitar $404 juta. Riset industri tahun ini memperkirakan volume sektor per bulan mendekati $21 miliar. Ketika arus masuk sebesar itu — banyak di antaranya didanai melalui jaringan kartu dan saldo stablecoin — bertemu dengan budaya yang mengutamakan kecepatan, kapasitas kepatuhan menjadi produknya, dan siapa pun yang menilai risiko platform lintas venue, dari panduan kami tentang bursa kripto terbaik hingga seterusnya, kini harus menghitungnya bersama biaya dan likuiditas.

Kapasitas Kepatuhan Menentukan Pemenang

Kedua benang itu bermuara pada satu lengkung: pasar prediksi telah melampaui infrastruktur kontrol yang membawa mereka sejauh ini. Rekor utama yang terus kembali kita lihat adalah registri CFTC sendiri — penetapan DCM QCX LLC — yang mewajibkan tingkat pengawasan yang jelas tidak diberikan oleh keputusan Februari, dan adanya penyelidikan aktif, dengan staf diperintahkan untuk menyimpan catatan, menandakan tagihan mungkin masih akan datang. Dengan Bitcoin (BTC) bertahan dekat $86.570 pada waktu rilis dan modal arus utama berputar ke platform prediksi, kasus-kasus pinggiran kini muncul di halaman depan, bukan di forum khusus; ini adalah jenis urutan yang menghidupkan kembali argumen tertua Bitcoin maximalism tentang risiko platform, dan itu akan menguntungkan operator — serta perlindungan seperti asuransi DeFi — yang dibangun untuk menghadapi pengawasan.