폴리마켓 재차 해킹…300만 달러 손실에도 “전액 보상” 약속

예측 시장 플랫폼 폴리마켓(Polymarket)이 또 한 번 해킹 공격을 당해 약 300만 달러 상당의 자산이 탈취되는 사고가 발생했다. 26일 업계에 따르면, 폴리마켓 측은 즉시 해당 사실을 공개하고 피해자 전원에게 전액 보상을 진행할 것이라고 밝혀 시장의 신뢰를 회복하려는 움직임을 보이고 있다. 이번 사건은 최근 암호화폐 시장의 강세 속에서도 보안 취약점에 대한 경각심을 일깨우고 있다.

[디지털투데이 AI리포터] 폴리마켓 이용자 일부가 웹사이트 프런트엔드 취약점을 악용한 공격으로 약 300만달러를 탈취당했다.

25일(현지시간) 블록체인 매체 디크립트에 따르면, 이번 사고는 폴리마켓의 제3자 협력사 한 곳이 해킹되면서 발생했다. 폴리마켓은 피해 이용자에게 전액 환불하겠다고 밝혔다.

해커들은 폴리마켓 웹사이트 프런트엔드에 악성 코드를 주입해 이용자 자금을 탈취했다. 폴리마켓은 엑스(옛 트위터)를 통해 프런트엔드 문제가 확인됐으며, 현재는 취약점을 차단하고 악성 코드를 제거했다고 밝혔다. 또한 피해 이용자에 대한 전액 보상을 진행 중이라고 설명했다.

온체인 분석업체 버블맵스는 피해 범위가 제한적이었다고 분석했다. 버블맵스는 잠재적 피해가 대부분 통제됐으며, 영향을 받은 계정도 15개 미만으로 추정했다. 이번 사고는 플랫폼 전체로 확산하기보다 일부 이용자 지갑에 집중된 것으로 파악됐다.

유출된 자금은 폴리마켓 거래에 사용되는 달러 연동 스테이블코인 pUSD였다. pUSD는 USDC를 담보로 발행되는 폴리마켓 전용 토큰이다. 해커들은 탈취한 자금을 이더리움으로 교환한 뒤 하나의 이더리움 지갑으로 옮긴 것으로 전해졌다.

이번 사고는 폴리마켓이 두 달 사이 겪은 두 번째 보안 사고다. 지난달에는 임직원이 이용자 보상금 충전과 지급에 사용하던 지갑이 해킹돼 회사가 약 70만달러의 피해를 입었다. 당시에는 개인 키 유출 가능성이 원인으로 거론됐으며, 회사 인프라 전반이나 다른 시스템으로 위험이 확산된 정황은 확인되지 않았다고 전문가들은 분석했다.

다만 이번 사고는 외부 협력사 침해가 웹사이트 운영 영역으로 이어졌다는 점에서 이전 사례와 성격이 다르다. 폴리마켓은 침해된 협력사의 명칭은 공개하지 않았다. 이에 따라 외부 사업자에 의존하는 운영 구조에서 유사한 공격을 어떻게 차단할지가 과제로 남게 됐다.

이번 사례는 핵심 프로토콜이 직접 손상되지 않더라도 주변 운영 체계가 침해되면 이용자 자금이 유출될 수 있음을 보여줬다. 해커들은 핵심 시스템이 아닌 서비스 경계 영역을 공략해 실제 이용자 지갑에서 자금을 탈취하는 데 성공했다.

폴리마켓은 프런트엔드 취약점을 차단하고 피해 이용자에게 전액 보상하겠다는 방침을 밝혔다. 다만 외부 협력사 보안과 웹사이트 운영 체계를 어떻게 개선할지가 보안 신뢰 회복의 핵심 과제로 남을 전망이다.
 

This morning we discovered a 3rd party vendor had been compromised, injecting a malicious script into our frontend for some users. We've contained it & removed the affected dependency. We're contacting impacted users & refunding them in full.