폴리마켓, 4개월 만에 또 대규모 해킹… 346만 달러 자산 유출

온라인 예측 시장 플랫폼 폴리마켓(Polymarket)이 4개월 만에 두 번째 대규모 보안 침해 사고를 겪으며 수백만 달러 상당의 자산을 잃었습니다. 지난 10월 29일, 폴리마켓은 외부 공급업체 침해로 인한 거래 중단 사태를 복구하고 사용자들에게 피해를 보상하겠다고 밝혔으나, 정확한 총 손실액은 공개되지 않았습니다. 이번 사건은 지난해 6월 발생했던 첫 번째 해킹과 맞물려, 외부 코드의 금융 기능 접근 범위와 서명 요청에 대한 보안 심각성을 다시 한번 부각시키고 있습니다.

**두 차례의 공격, 다른 경로로 사용자 자산 노려**

폴리마켓에서 발생한 두 번의 해킹 사건은 서로 다른 경로를 통해 사용자 자산을 노렸다는 점에서 주목받고 있습니다. 지난해 6월 25일, 폴리마켓은 외부 공급업체를 통해 악성 스크립트가 주입되었다고 공지했습니다. 당시 보안 업체 소스 디펜스(Source Defense)의 조사에 따르면, 약 300만 달러가 유출된 것으로 추정되었습니다. 공격 경로는 마케팅 태그를 통해 외부 ID 라이브러리를 로드하고, 공격자가 이를 폴리마켓 특정 도난 스크립트로 대체하는 방식이었습니다. 이 페이로드(payload)는 10만 달러 이상 가치가 있는 지갑을 선택하고 반복적으로 디지털 승인을 요청했습니다. 사용자가 이를 승인하면, 폴리마켓 자체 릴레이어(relayer)를 통해 서명된 거래가 제출되는 방식이었습니다.

10월 29일에 발생한 최근 사건에서는, 복구된 코드 분석 결과 로그인 세션 내에서 거래 도구를 검색하는 스크립트가 발견되었습니다. 허드슨 록(Hudson Rock)의 분석에 따르면, 디버그베어(DebugBear)와 관련된 URL에서 검색된 스크립트는 실시간 거래 클라이언트와 암호화폐 거래에 필요한 서명 요청 컴포넌트를 찾고 있었습니다. 이 스크립트는 계정 유형에 따라 다른 작업을 수행하도록 프로그래밍되었습니다. 한 부분에서는 포지션 토큰 전송을 요청했고, 다른 부분에서는 매도 및 수익금 전송을 시도했습니다. 또한, 허드슨 록은 디버그베어 모니터링 스크립트 제거에 대한 프로덕션 빌드 메타데이터도 발견했습니다. 하지만 이 스크립트가 실제로 실행되었는지, 익명 서명(silent signature)이 이루어졌는지, 개인 키가 탈취되었는지, 그리고 피해자부터 수취인까지의 전체 거래 흐름은 아직 명확히 입증되지 않은 상태입니다. 제거 메타데이터는 사용자의 노출 종료 시점에 대한 불확실성도 남깁니다.

**346만 달러 규모 자산 유출 추정… POL로 전환 시도**

블록체인 분석 업체 버블맵스(Bubblemaps)는 10월 29일 발생한 침해 사고로 인해 700명 이상의 폴리마켓 사용자가 영향을 받았으며, 약 346만 달러 상당의 자산이 유출된 것으로 추정했습니다. 공격자들은 유출된 자산 중 약 270만 달러를 폴리마켓의 자체 토큰인 POL(Polymarket)로 전환하려는 시도를 한 것으로 파악되었습니다. 이러한 행위는 자산 은닉 및 세탁 시도의 일환으로 해석될 수 있습니다. 이번 사건은 폴리마켓이 자체 토큰인 POL을 활용하여 생태계를 운영하고 있다는 점을 고려할 때, 내부 토큰의 가치 및 유동성과 관련된 추가적인 위험을 내포하고 있습니다.

**재발 방지를 위한 보안 강화 시급**

폴리마켓의 두 차례에 걸친 보안 침해 사건은 예측 시장 플랫폼을 포함한 모든 블록체인 기반 서비스의 보안 취약점을 여실히 보여줍니다. 외부 공급업체의 보안 관리 소홀, 악성 스크립트 삽입 용이성, 그리고 사용자 동의를 악용한 자산 탈취 시도 등은 플랫폼 운영에 있어 끊임없이 발생하는 위협입니다. 폴리마켓 측은 이번 사건을 법 집행 기관에 신고했으며, 피해를 입은 사용자들에게 전액 보상할 것을 약속했습니다. 그러나 반복되는 사고는 단순히 공급망 문제를 넘어, 사용자 브라우저 내에서 금융 기능을 제어하는 외부 코드의 잠재적 위험성에 대한 근본적인 보안 강화 대책 마련의 필요성을 강조합니다. 향후 폴리마켓이 어떤 방식으로 보안 시스템을 강화하고 사용자 신뢰를 회복할 수 있을지 귀추가 주목됩니다.