폴리마켓, 스크립트 해킹 후 390만 달러 환불 계획 발표

블록체인 기반 예측 시장 플랫폼인 폴리마켓이 지난 10월 29일 발생한 제3자 스크립트 침해 사고와 관련하여 총 390만 달러의 환불 계획을 발표했습니다. 이번 사고는 국제 플랫폼 운영에 큰 혼란을 야기했으며, 환불액에는 직접적인 자금 유출 피해뿐만 아니라 거래 중단으로 인한 손실까지 포함됩니다.

폴리마켓은 10월 30일 발표한 사후 분석 보고서를 통해 이번 사고의 상세 경위를 설명하며, 공격 방식과 고객 보상 방안에 초점을 맞췄습니다. 이는 온체인 애플리케이션이라 할지라도 오프체인 웹사이트 구성 요소에 의존하며, 이 구성 요소가 활성 사용자 세션에 접근할 수 있다는 점을 시사합니다.

**환불액, 단순히 유출된 금액 이상을 포함**

폴리마켓의 발표에 따르면, 이번 사고로 인해 총 390만 달러가 반환될 예정입니다. 이 중 270만 달러는 직접적인 공격으로 인한 피해액이며, 나머지 120만 달러는 거래 중단 사태와 관련된 손실액입니다. 보고 시점 기준으로 영향받은 지갑의 95%는 전액 환불받았다고 밝혔습니다. 다만, 이는 특정 시점의 보고이며 실시간 환불 완료율이나 모든 고객의 분쟁 해결을 증명하는 것은 아니라고 덧붙였습니다.

**웹사이트 코드, 금융 경계의 일부가 될 수 있다**

제3자 스크립트는 웹사이트가 이를 로드하기로 선택함으로써 실행됩니다. 스크립트의 권한과 실행 환경에 따라, 해당 스크립트는 사용자가 신뢰하는 애플리케이션과 연관 짓는 페이지 및 브라우저 세션의 일부와 상호 작용할 수 있습니다. 이는 단순한 코드 오류를 넘어, 사용자 자산과 직접적으로 연결될 수 있는 심각한 보안 위협으로 이어질 수 있음을 보여줍니다.

모질라의 하위 리소스 무결성(Subresource Integrity) 문서에 따르면, 브라우저는 다운로드된 리소스를 예상되는 암호화 해시와 비교하고 일치하지 않는 콘텐츠는 거부할 수 있습니다. 이는 동일한 주소를 통해 제공되는 변경된 파일과 승인된 파일을 분리하는 데 도움이 됩니다. 그러나 이러한 메커니즘은 한계가 있습니다. 승인된 코드가 안전했는지 여부를 결정하지 않으며, 애플리케이션은 여전히 업데이트를 검토하고 어떤 리소스의 실행을 허용할지 제어하는 건전한 프로세스가 필요합니다.

**거래 중단, 또 다른 유형의 손실을 야기할 수 있다**

시간에 민감한 결과에 연동된 시장에서는 거래를 중단하는 것만으로도 사용자가 직접적인 자금 유출 피해를 입지 않았더라도 영향을 받을 수 있습니다. 거래가 중단되는 동안 포지션이 청산되거나, 거래가 재개되기 전에 시장 가치가 변동될 수 있기 때문입니다. 이러한 영향에 대한 보상은 명확한 기준점을 필요로 합니다. 운영자는 관련 타임스탬프, 포지션 규모 및 평가 방법을 결정한 후, 동일한 접근 방식을 일관되게 적용해야 합니다. 그렇지 않으면, 환불이라는 명목하에 포함되는 손실에 대한 합의가 은폐될 수 있습니다.

이번 폴리마켓 사태는 암호화폐 플랫폼이 직면할 수 있는 복합적인 보안 위협을 다시 한번 상기시켰습니다. 블록체인 기술 자체의 보안성 못지않게, 이를 둘러싼 오프체인 인프라와 제3자 서비스의 보안이 얼마나 중요한지를 명확히 보여주는 사례입니다. 향후 이러한 유형의 공격을 예방하기 위한 보다 철저한 보안 감사와 규제 강화가 요구될 것으로 보입니다.

또한, 이번 사고는 사용자들에게도 경각심을 일깨웁니다. 아무리 신뢰할 수 있는 플랫폼이라 할지라도, 항상 잠재적인 위험에 대해 인지하고 자신의 자산을 보호하기 위한 추가적인 조치를 고려해야 합니다. 예를 들어, 중요한 자산은 거래 플랫폼이 아닌 개인 지갑에 보관하거나, 다중 인증(MFA) 등 보안 기능을 적극적으로 활용하는 것이 좋습니다.

폴리마켓은 이번 사고를 계기로 보안 시스템을 강화하고, 제3자 스크립트 관리 및 감사 프로세스를 개선할 것이라고 밝혔습니다. 또한, 고객과의 소통을 강화하고 투명한 정보 공개를 통해 신뢰를 회복하기 위해 노력할 것이라고 강조했습니다. 암호화폐 시장의 건전한 성장을 위해서는 플랫폼 제공업체의 책임감 있는 자세와 사용자들의 현명한 투자 습관이 함께 뒷받침되어야 할 것입니다.