بررسی پلی مارکت پس از کلاهبرداری ۱۰ میلیون دلاری

پلی‌مارکت پس از گزارش طرح ۱۰ میلیون دلاری کارت‌های سرقتی زیر ذره‌بین رفت

پلی‌مارکت، یکی از اپراتورهای شناخته‌شده بازار پیش‌بینی، پس از گزارشی در ۱۹ سپتامبر دوباره با موجی از بررسی‌ها روبه‌رو شد. در این گزارش ادعا شده بود که کلاهبرداران در ماه فوریه با استفاده از اطلاعات کارت‌های بدهی سرقتی در پلی‌مارکت آمریکا تلاش کرده‌اند حدود ۱۰ میلیون دلار واریز، معامله و برداشت غیرقانونی انجام دهند. رقمی که در گزارش‌ها مطرح شده، نشان‌دهنده مبلغی است که مجرمان ظاهرا کوشیده‌اند از طریق این پلتفرم جابه‌جا کنند، نه زیان تاییدشده‌ای که به مشتریان یا شرکت تحمیل شده باشد.

این رخداد بار دیگر پرسش‌هایی جدی درباره ریسک پرداخت، احراز هویت حساب‌ها و یکپارچگی بازار در بازارهای پیش‌بینی مرتبط با رمزارز ایجاد می‌کند؛ بازارهایی که هم در محیط‌های قانون‌گذاری‌شده و هم در زیرساخت‌های بومی بلاکچین فعالیت دارند. در ادامه، بررسی می‌کنیم که درباره این حادثه چه گزارش‌هایی منتشر شده، پلی‌مارکت از نظر عملیاتی چه واکنشی نشان داده و زمینه مقرراتی و انطباقی شکل‌دهنده محصول آمریکایی این شرکت، یعنی پلی‌مارکت آمریکا که تحت کیو‌سی‌اکس فعالیت می‌کند، چیست.

نکات کلیدی

• گزارش‌های رسانه‌ای می‌گویند کلاهبرداران در ماه فوریه با استفاده از کارت‌های بدهی سرقتی در پلی‌مارکت آمریکا دست‌کم برای جابه‌جایی ۱۰ میلیون دلار تلاش کرده‌اند.
• طبق گزارش‌ها، چک‌اوت‌دات‌کام، پردازشگر پرداختی که در آن زمان بخش زیادی از واریزهای کارتی پلی‌مارکت را مدیریت می‌کرد، در اوج حمله بیش از ۸۰٪ واریزهای پلی‌مارکت آمریکا را به‌عنوان تقلبی علامت‌گذاری کرد؛ در حالی که میانگین‌های معمول صنعت نزدیک به ۱٪ است.
• پلی‌مارکت می‌گوید کنترل‌های سخت‌گیرانه‌تری برای کارت‌ها اجرا کرده و از ابزارهای ضدتقلب شخص ثالث استفاده کرده است؛ شاخص‌های گزارش‌شده تقلب بعدا دوباره به سمت میانگین‌های رایج صنعت بازگشتند.
• پلی‌مارکت آمریکا زیر مجموعه کیو‌سی‌اکس ال‌ال‌سی فعالیت می‌کند؛ بازاری قراردادی که توسط کمیسیون معاملات آتی کالای آمریکا تعیین شده و مشمول نظارت فدرال آمریکا بر مشتقات است.
• این شرکت تیم‌های انطباق، تحقیقات و مدیریت ریسک خود را گسترش داده و اخیرا وارن جنسن، مدیر باسابقه حوزه مالی، را به‌عنوان مدیر مالی استخدام کرده است.

گزارش‌ها درباره موج تقلب فوریه چه می‌گویند

بر اساس گزارش وال‌استریت ژورنال و منابعی که این رسانه به آن‌ها استناد کرده، کلاهبرداران کارت‌های بدهی سرقتی را به هزاران حساب در پلی‌مارکت آمریکا متصل کرده‌اند. گفته می‌شود آن‌ها حساب‌ها را با این کارت‌ها شارژ کرده، از معاملات بازار پیش‌بینی برای انتقال ارزش از طریق پلتفرم استفاده کرده و سپس وجوه را به کارت‌ها یا حساب‌های بانکی تحت کنترل خود برداشت کرده‌اند. مبلغ گزارش‌شده، یعنی حدود ۱۰ میلیون دلار، بیانگر تلاش برای جابه‌جایی پول است و گزارش‌های عمومی بررسی‌شده برای این تحلیل، آمار نهایی و مستقلا تاییدشده‌ای از برداشت‌های موفق یا زیان‌های قطعی ارائه نمی‌کنند.

یکی از جزئیات قابل توجه در گزارش‌ها، نرخ بالای رد تراکنش‌ها توسط پردازشگر پرداخت چک‌اوت‌دات‌کام در اوج ماجرا بود. ژورنال گزارش داد که چک‌اوت‌دات‌کام بیش از ۸۰٪ واریزهای پلی‌مارکت آمریکا را که در آن دوره پردازش کرده بود، به‌عنوان تراکنش تقلبی رد کرده است؛ نرخی که بسیار بالاتر از تجربه معمول پذیرندگان پرداخت است. منابع عمومی چک‌اوت‌دات‌کام نشان می‌دهند این شرکت ابزارهای امتیازدهی تقلب و فیلتر تراکنش را در اختیار پذیرندگان قرار می‌دهد، اما طبق شرایط خود، تصمیم نهایی برای پذیرش تراکنش را بر عهده پذیرنده می‌گذارد. چک‌اوت‌دات‌کام بیانیه عمومی مستقلی برای تایید رقم بیش از ۸۰٪ در زمینه پلی‌مارکت منتشر نکرده است.

نگرانی‌های داخلی و اظهارنظر ادعایی مدیرعامل

کارکنان فعلی و سابق به ژورنال گفته‌اند که افزایش پرداخت‌های مشکوک را به شین کوپلن، مدیرعامل شرکت، گزارش کرده‌اند. این گزارش پاسخی منتسب به او را نقل کرده است: «فقط به رشد ادامه دهید و اگر نهادهای ناظر روزی متوجه شدند، جریمه را پرداخت کنید.» پلی‌مارکت به‌طور عمومی تایید نکرده که کوپلن چنین اظهارنظری کرده باشد. این شرکت اعلام کرده است که رویه‌هایی برای شناسایی و پاسخ به فعالیت‌های مشکوک دارد و با نهادهای مجری قانون و تنظیم‌گران همکاری می‌کند.

کنترل‌های عملیاتی اجراشده برای مهار تقلب کارتی

پس از جهش فوریه، پلی‌مارکت طبق گزارش‌ها کنترل‌های مربوط به کارت‌های بدهی را سخت‌گیرانه‌تر کرد و یک ارائه‌دهنده ضدتقلب شخص ثالث به نام ریسیفاید را به کار گرفت. اقدامات گزارش‌شده شامل محدود کردن تعداد کارت‌های بدهی قابل اتصال به یک حساب واحد و به‌کارگیری سامانه‌های خودکار تصمیم‌گیری ریسک برای غربال‌گری فعالیت‌های مشکوک پیش از تایید بود. این مداخلات با کاهش گزارش‌شده نرخ تقلب تا ماه مه و نزدیک شدن آن به میانگین‌های صنعت هم‌زمان شد.

ریسیفاید امتیازدهی تقلب مبتنی بر یادگیری ماشین و کنترل‌های تراکنش برای پذیرندگان ارائه می‌دهد؛ ابزارهایی که با هدف کاهش بازگشت وجه و تراکنش‌های مورد اختلاف طراحی شده‌اند. هرچند منابع عمومی ریسیفاید خدمات این شرکت را به‌طور کلی توضیح می‌دهند، این شرکت شاخص‌های اختصاصی مربوط به پلی‌مارکت را منتشر نکرده است.

مسیر برداشت و ریسک جرایم مالی

بر اساس گزارش‌ها، یکی از گام‌های اولیه پلی‌مارکت این بود که برخی برداشت‌ها را مجبور کند به همان منبع پرداختی بازگردند که حساب را شارژ کرده بود؛ رویکردی رایج در کنترل پرداخت که برای مختل کردن مسیرهای پول‌شویی طراحی شده است. ژورنال اعلام کرد پلی‌مارکت بعدا این محدودیت را کاهش داده است. منابع داخلی مورد استناد در گزارش‌ها هشدار داده‌اند که کاهش الزام تطبیق منبع پرداخت، ریسک جرایم مالی را افزایش داده است. دفترچه مقررات ثبت‌شده عمومی پلی‌مارکت در آمریکا که در آوریل تایید شد، به این صرافی اختیار می‌دهد حساب‌ها را محدود کند، مشتریان را در وضعیت فقط تسویه قرار دهد و اقدامات دیگری برای حفاظت از مشتریان و یکپارچگی بازار انجام دهد.

پس‌زمینه مقرراتی: کیو‌سی‌اکس، کمیسیون معاملات آتی کالا و اقدامات اجرایی گذشته

پلی‌مارکت آمریکا از طریق کیو‌سی‌اکس ال‌ال‌سی فعالیت می‌کند؛ بازاری قراردادی تعیین‌شده که نزد کمیسیون معاملات آتی کالای آمریکا ثبت شده است. کیو‌سی‌اکس در ژوئیه ۲۰۲۵ این عنوان را دریافت کرد. ساختار دوپلتفرمی به این معناست که مشتریان خرد آمریکایی از طریق صرافی تحت نظارت فدرال معامله می‌کنند، در حالی که کاربران بین‌المللی به محصول بلاکچینی جداگانه‌ای با قوانین و زیرساخت متفاوت دسترسی دارند.

این تمایز مهم است، زیرا پلی‌مارکت آمریکا را مستقیما زیر نظارت فدرال مشتقات قرار می‌دهد. این شرکت پیش‌تر در سال ۲۰۲۲ اتهامات کمیسیون معاملات آتی کالای آمریکا درباره ارائه اختیارهای دودویی رویدادمحورِ ناسازگار با مقررات را تسویه کرد، ۱.۴ میلیون دلار جریمه مدنی پرداخت و برخی بازارها را تعطیل کرد. وال‌استریت ژورنال همچنین گزارش داده که کمیسیون معاملات آتی کالای آمریکا در حال بررسی موضوعاتی مرتبط با حادثه تقلب فوریه است و طبق گزارش‌ها، به کارکنان پلی‌مارکت دستور داده شده اسناد را حفظ کنند. تا آخرین تاریخ گزارش‌دهی، هیچ اطلاعیه اجرایی عمومی جدیدی از سوی این کمیسیون به‌طور مشخص به ادعاهای مربوط به کارت‌های سرقتی فوریه نپرداخته است؛ بنابراین هرگونه تحقیق گزارش‌شده باید به‌عنوان یک بررسی باز تلقی شود.

توجه کنگره

نظارت کنگره نیز به پلی‌مارکت رسیده است. در ۲۲ مه، کمیته نظارت و اصلاحات دولتی مجلس نمایندگان از این شرکت سوابقی درباره احراز هویت، ارجاع فعالیت‌های مشکوک، محدودیت‌های جغرافیایی و تعاملات با مقام‌های آمریکایی درخواست کرد. تمرکز اصلی این پرس‌وجو بر معامله‌گری با اطلاعات نهانی و مسائل امنیت اطلاعات بود و داده‌هایی درباره تعداد و سرنوشت گزارش‌های فعالیت مشکوک از ۱ ژانویه ۲۰۲۴ به بعد درخواست می‌کرد؛ این بررسی به وضعیت کارت‌های پرداخت که در سپتامبر گزارش شد محدود نبود.

واکنش شرکت: تقویت تیم‌ها و ابزارها

پلی‌مارکت به‌طور عمومی اعلام کرده که از اوایل ۲۰۲۶ توانمندی‌های داخلی خود در حوزه تحقیقات، انطباق و مدیریت ریسک را تقویت کرده است. در این توسعه، شرکت شانا باوتیستا، بازپرس سابق اف‌بی‌آی، را به‌عنوان رئیس جهانی تحقیقات و اطلاعات منصوب کرد. این شرکت می‌گوید برای شناسایی رفتارهای غیرعادی از تحلیل بلاکچین، یادگیری ماشین و پایش معاملات استفاده می‌کند.

صفحه یکپارچگی بازار پلی‌مارکت گزارش می‌دهد که این شرکت بیش از ۹۰ حساب را به نهادهای مجری قانون ارجاع داده و جزئیات بیش از ۳۱۵ کیف پول را ارائه کرده است؛ ارقامی که شرکت به‌صورت عمومی منتشر کرده، اما منحصرا به تقلب کارت‌های پرداخت مربوط نیست. مقام‌های فدرال دست‌کم در یک پرونده نامرتبط درباره ادعای معامله‌گری با اطلاعات نهانی مرتبط با اطلاعات طبقه‌بندی‌شده، همکاری پلی‌مارکت را تایید کرده‌اند؛ دادستانی ایالات متحده در ناحیه جنوبی نیویورک همکاری پلی‌مارکت را در آن موضوع اعلام کرد.

استخدام مدیران، جذب سرمایه و زمینه کسب‌وکار

پلی‌مارکت در ۱۰ سپتامبر وارن جنسن را به‌عنوان نخستین مدیر مالی خود منصوب کرد. جنسن پیش‌تر در شرکت‌های بزرگی از جمله آمازون، الکترونیک آرتس، دلتا ایر لاینز و نیلسن سمت‌های ارشد مالی داشته است. شرکت اعلام کرد جنسن بر امور مالی، راهبرد سرمایه و برنامه‌ریزی بلندمدت نظارت خواهد کرد. گزارش‌ها نشان می‌دهند پلی‌مارکت برای نقاط عطف احتمالی آینده، از جمله عرضه عمومی احتمالی، آماده می‌شود؛ هرچند این شرکت هیچ سند عمومی برای عرضه اولیه سهام ثبت نکرده است.

فعالیت‌های جذب سرمایه قابل توجه بوده است: آی‌سی‌ای، شرکت مادر بورس نیویورک، در ماه مارس از سرمایه‌گذاری نقدی ۶۰۰ میلیون دلاری خبر داد؛ اقدامی که پس از سرمایه‌گذاری قبلی ۱ میلیارد دلاری در سال ۲۰۲۵ انجام شد. پوشش رسانه‌ای جذب سرمایه پلی‌مارکت نشان می‌داد این شرکت به‌دنبال جذب حدود ۱ میلیارد دلار با ارزشی نزدیک به ۲۱ میلیارد دلار بوده است، هرچند چنین مذاکراتی در زمان گزارش‌دهی به‌عنوان ثبت رسمی عرضه اولیه سهام مطرح نشده بود.

دیگر رخدادهای امنیتی در ۲۰۲۶ و پیامدهای آن‌ها

تقلب کارت‌های پرداخت تنها چالش امنیتی پلی‌مارکت در سال جاری نبود. در ژوئن، این شرکت تایید کرد که یکی از فروشندگان شخص ثالث آن دچار نفوذ شده و کد مخرب برای برخی کاربران به بخش فرانت‌اند تزریق شده است. پلی‌مارکت اعلام کرد وابستگی آسیب‌دیده را حذف کرده، حادثه را مهار کرده و قصد دارد به مشتریان آسیب‌دیده غرامت پرداخت کند. پژوهشگران بلاکچین بعدا زیان‌ها را حدود ۳.۱ میلیون دلار در ۱۱ کیف پول مرتبط با این حادثه برآورد کردند و ای‌ام‌ال‌بات گزارش داد که وجوه سرقت‌شده از پالیگان به اتریوم منتقل شده‌اند.

به‌طور جداگانه، گزارش‌ها یک رخداد امنیتی در ژوئیه را نیز مستند کردند که نزدیک به ۵۰۰ کاربر را تحت تاثیر قرار داد. در آن رخداد، مهاجمان از اطلاعات شخصی سرقت‌شده برای دسترسی به حساب‌ها و اتصال روش‌های پرداخت از طریق یک ضعف مهندسی سوءاستفاده کردند. طبق گزارش‌ها، پلی‌مارکت پذیرفت زیان مشتریان آسیب‌دیده را پوشش دهد، اما اظهارات عمومی هنوز مجموع زیان تاییدشده و مستقلی برای آن رویداد ارائه نکرده‌اند.

پیامدها برای بازارهای پیش‌بینی و پرداخت‌های رمزارزی

این رخدادها نشان می‌دهند وقتی ریل‌های سنتی پرداخت با بازارهای رمزارز محور یا بومی بلاکچین تلاقی می‌کنند، ریسک‌ها همچنان جدی و ماندگارند. طرح‌های مبتنی بر کارت سرقتی از ضعف کنترل‌های ورود کاربر، هویت‌های ساختگی و شکاف‌های پایش تراکنش سوءاستفاده می‌کنند. بنابراین بازارهای پیش‌بینی که امکان معامله با پول واقعی را فراهم می‌کنند باید دفاع چندلایه داشته باشند: کاهش ریسک بازگشت وجه، فرایندهای قوی شناخت مشتری و مبارزه با پول‌شویی، هوشمندی دستگاه، تحلیل رفتاری و کنترل منبع وجوه؛ همه این موارد برای کاهش هم‌زمان ریسک مالی مستقیم و ریسک دستکاری سیستماتیک بازار ضروری است.

تجربه پلی‌مارکت همچنین نشان می‌دهد شرکت‌ها هنگام ایجاد تعادل میان رشد سریع کاربران و پیشگیری سخت‌گیرانه از تقلب با چه بده‌بستان‌هایی روبه‌رو هستند. راهبردهای رشد تهاجمی می‌توانند سطح حمله را گسترش دهند و برای بازیگران مخرب انگیزه ایجاد کنند تا از مقیاس پلتفرم سوءاستفاده کنند، در حالی که کنترل‌های بیش از حد محدودکننده می‌تواند دسترسی کاربران واقعی و نقدشوندگی را مختل کند.

این موضوع برای کاربران و اکوسیستم گسترده‌تر رمزارز چه معنایی دارد

برای کاربران، این رخداد یادآور اهمیت رعایت بهداشت امنیتی حساب است: از گذرواژه‌های منحصربه‌فرد و قوی استفاده کنید، احراز هویت چندعاملی را فعال کنید و صورت‌حساب‌های کارت و بانک را به‌دقت برای فعالیت‌های غیرمجاز بررسی کنید. پلتفرم‌ها نیز باید درباره سیاست‌های پرداخت، محدودیت‌های مسیر برداشت و رویه‌های جبران خسارت در صورت تاثیرپذیری مشتریان از تقلب، شفاف اطلاع‌رسانی کنند.

برای تنظیم‌گران و نهادهای اجرایی، این حادثه اهمیت همکاری میان‌بخشی را برجسته می‌کند؛ همکاری میان پردازشگرهای پرداخت، پلتفرم‌های رمزارزی، شرکت‌های تحلیل بلاکچین و نهادهای مجری قانون برای ردیابی وجوه، بازیابی دارایی‌ها در صورت امکان و بازدارندگی از طرح‌های آینده. همچنین نشان می‌دهد پلتفرم‌های قانون‌گذاری‌شده آمریکایی مانند پلی‌مارکت آمریکا که تحت کیو‌سی‌اکس فعالیت می‌کنند، در صورت بروز نقص‌های عملیاتی یا رخدادهای امنیتی با نظارت شدیدتری روبه‌رو خواهند شد.

چشم‌انداز پیش رو

پلی‌مارکت می‌گوید کنترل‌ها را سخت‌گیرانه‌تر کرده، ابزارهای ضدتقلب شخص ثالث را به‌کار گرفته، نیروی انسانی بخش تحقیقات را گسترش داده و با مقام‌ها همکاری می‌کند. اینکه این اقدامات تا چه اندازه تهدیدهای پایدار تقلب پرداخت را کاهش می‌دهد، به سرمایه‌گذاری مستمر در شناسایی تقلب، بهبود کنترل‌های مسیر پرداخت، احراز هویت قوی‌تر و همکاری مداوم با پردازشگرهای پرداخت و تنظیم‌گران بستگی دارد.

با ادامه انتشار گزارش‌ها و عمومی شدن هرگونه اقدام مقرراتی یا اجرایی، جزئیات برای فعالان بازار، تیم‌های انطباق و سرمایه‌گذارانی که تقلب، مبارزه با پول‌شویی و تاب‌آوری عملیاتی را در فضای رمزارز و بازارهای پیش‌بینی دنبال می‌کنند، اهمیت زیادی خواهد داشت.