Polymarket、1,000万ドル規模の盗難カード攻撃の中で重要なAML規則を削除 ― Bitcoin(BTC)が焦点

1,000万ドル規模の盗難カード不正スキーム

不正グループが今年2月に開始した盗難デビットカード攻撃で、Polymarket(ポリマーケット)の米国プラットフォームを通じて約1,000万ドルの資金を動かそうとしていたことが明らかになった。攻撃者は流出したカード情報を数千のアカウントに紐付け、ベットの入金に充当し、その後、自らが管理する口座への出金を試みた。Checkout.comが管理するようなTangem Pay型のカード決済基盤こそ、攻撃者が突いた弱点だった。入金を処理していたCheckout.comはこのスキームを検知し、ピーク時にはPolymarket米国への入金の80%超を不正として拒否した――業界標準の不承認率が約1%であることを踏まえると、異常な水準だ。不正是極端に集中しており、ユーザー約7名が大部分を占め、単一アカウントだけで約4,000件の入金を試みていた。土曜日に公表された調査報告は、1,000万ドルのうち実際にプラットフォーム外へ流出した額を特定できておらず、関係者の一人は「入金の大半が失敗した」と述べている。

より重大なのは、Polymarket内部の対応だ。不正入金が積み重なり、正当な出金も滞留するなか、経営陣は「資金を入金元と同じ決済手段へのみ出金する」という要件を撤廃した。これは盗難カードの利益が清浄な口座に到達するのを防ぐ、業界で標準とされる防止策である。従業員側はこの変更がマネーロンダリングを招くと警告したが、経営陣は既存の管理策で十分だと主張した。報道によれば、CEOのShayne Coplan氏は従業員に対し、成長を優先し規制上の罰金は後で対処するよう指示したという。コンプライアンス責任者のAndrew Clifford氏は4月、不正に関する詳細な報告書を提出した後に辞任し、米国CEOのJustin Hertzberg氏は解雇、米国規制部門とAML部門の責任者も相次いで退社した。一方、法律事務所Sullivan & Cromwellによる社内調査は、プラットフォームは規制を遵守していたと結論づけている。

その後、プラットフォームはユーザーが紐付けできるデビットカードの枚数に上限を設け、スクリーニングベンダーのRiskifiedを導入したことで、報道によれば5月には不正率が業界標準に戻った。しかし7月下旬には、別の登録時の欠陥により、被害者の社会保障番号(SSN)を入手した攻撃者がパスワードを一切知らなくても、銀行口座やカードが紐付いた状態の約500のアカウントを乗っ取れる状態が生じた。これは暗号技術の失敗ではなく、本人確認の失敗である――いかなる秘密鍵も危険に晒されていない。CFTC(米商品先物取引委員会)は現在この不正を調査中で、職員には記録の保全が指示されている。

規制指定を受けた市場の責任問題

コンプライアンスの記録が、ここでは一般の暗号資産スタートアップ以上に重く響く。規制当局自身の登録記録によれば、Polymarket U.S.を運営するQCX LLCは2025年7月9日に指定契約市場(DCM)の地位を取得し、現在も指定名簿に記載されたままだ。これは同プラットフォームが周辺部ではなく、米国の連邦監督下にあるフォーマルなデリバティブ体制の内部に置かれていることを意味する。だからこそ、登録済み市場でのカード不正、顧客確認の不備、出金管理の緩和には、分散型プロトコルのハッキングでは生じ得ない規制上の重みが伴う。

決済側からの圧力もこの構図を補強する。報道によれば、Visaは不正活動の急増に懸念を示し、Checkout.comに対しPolymarket関連のフローへの管理強化を促し、決済会社はさらにプラットフォーム側に強い措置を要求した。また、情報公開請求で入手した記録によれば、CFTCはPolymarketの複数市場で疑われたインサイダー取引も調査していた。対象は米国前大統領の恩赦関連契約、イラン関連イベント、そしてGoogleの年間検索ランキング。イラン市場のアカウント群は約240万ドルの利益を計上し、恩赦市場のトレーダー一人は約30万ドルを得ていた。

資本市場はそれとは無関係に成長ストーリーを好意的に受け止めてきた。Polymarketは評価額210億ドルで約10億ドルの資金調達を進めており、Donald Trump Jr.率いる1789 Capitalは既に投資済みの2億ドルに加え、約3億ドルの追加出資を行う。元Amazon最高財務責任者のWarren Jenson氏が初代CFOに就任し、2027年のIPOが協議されているとの報道もある。だが規模の拡大はリスクも拡大させる。2026年シーズンの最初のNFL週末には、日曜の予測市場出来高が約31.2億ドルに達し、前日はカレッジフットボールで約31.7億ドルを計上した。週末通算ではKalshiが約48.9億ドルを回転させたのに対し、Polymarketは約4億400万ドルだった。業界調査は今年、セクター全体の月間出来高を約210億ドルと推定している。この規模の資金流入――多くがカードネットワークとステーブルコイン残高、さらにはstablecoin経由で賄われる――がスピード優先の文化と出会うとき、コンプライアンス能力そのものが製品になる。取引所間でプラットフォームリスクを見比べるユーザーは、当サイトのベスト暗号資産取引所ガイドをはじめ、手数料や流動性と並んでこの点を価格づけする必要があるだろう。 市場をリアルタイムで追いたい読者は、Gateで現物・先物価格をライブで確認できる。

勝敗を分けるのはコンプライアンス能力

二つの流れは一つの弧に収束する。予測市場は、自分たちをここまで支えてきた管理インフラの規模を既に超えてしまった。筆者が繰り返し立ち返る一次資料はCFTC自身の登録簿――QCX LLCのDCM指定――であり、この指定が課す監督水準を、2月の経営判断は明らかに果たせていなかった。記録保全を命じた進行中の調査は、ツケがまだ支払われ得ることを示している。筆者執筆時点でBitcoin(BTC)は約86,570ドル近辺で推移し、主流資本が予測市場プラットフォームへ回帰するなか、例外的な事案はニッチなフォーラムではなく一面紙面を飾る時代になった。こうした一連の流れは、プラットフォームリスクをめぐるBitcoinマキシマリズムの最も古い論点を蘇らせる。そして勝ち残るのは、監視に耐える設計を持つ運営者と、DeFi保険、DeFi insuranceのような保護手段だろう。