폴리마켓은 사용자 자금 최소 260만 달러가 빼돌려진 사건 이후 약 한 시간 동안 거래를 중단했습니다. 이번 공격은 블록체인 자체를 겨냥한 것이 아니라 사이트에 통합된 성능 측정 도구를 표적으로 삼았으며, 이는 비수탁형 플랫폼의 간과되기 쉬운 취약점을 드러냈습니다.
요약하자면
- 폴리마켓은 약 260만 달러 규모의 해킹 공격으로 인해 한 시간 동안 거래를 중단했습니다.
- 700개 이상의 계좌가 영향을 받았으며, 승인 없이 주식이 매도되고 자금이 이체된 것으로 알려졌습니다.
- 이번 공격은 손상된 외부 스크립트를 악용한 것으로, 폴리곤 블록체인에 직접적인 영향을 미치지는 않았습니다.
- 폴리마켓은 해킹으로 피해를 입은 사용자들에게 전액 보상할 것을 약속합니다.
- 비슷한 사건으로 지난 6월에도 약 3백만 달러의 손실이 발생한 바 있다.
간단한 추적 스크립트로 계정 접근 권한을 확보했습니다.
이번 사건은 10월 29일
국제 거래 플랫폼인 폴리마켓닷컴(Polymarket.com) 에서 시작되었습니다 . 사용자들은 자신들의 보유 자산이 무단으로 매도되거나 이체되었다고 신고했습니다. 한 사용자는 80만 달러의 손실을 입었다고 주장했고, 다른 계좌에서는 60만 달러가 사라졌다고 알려졌습니다.
Trezor로 암호화폐를 안전하게 보관하세요. 이 링크는 제휴 프로그램을 이용합니다.폴리마켓은 초기에는 시장을
“취소 전용” 모드로 전환했습니다. 거래자들은 기존 주문을 취소할 수는 있었지만 새로운 주문은 더 이상 할 수 없었습니다. 서명된 거래를 블록체인에 전송하는 서비스의 기능 또한 중단되었습니다.입수
가능한 정보를 바탕으로 사건의 주요 단계를 재구성할 수 있습니다.
- 사이트에 통합된 타사 솔루션이 손상되었습니다.
- 악성 자바스크립트 코드가 이미 연결된 세션을 대상으로 공격했습니다.
- 일부 사용자의 계정이 동의 없이 판매되었습니다.
- 획득한 자산은 공격자가 관리하는 주소로 전송되었습니다.
- 700개 이상의 계좌가 영향을 받았으며, 피해액은 최소 260만 달러에 달합니다.
- 폴리마켓은 피해자들에게 전액 배상할 것을 약속합니다.
서비스 중단은 한 시간 동안 지속되었습니다. 이후 플랫폼 측은 문제가 해결되어 모든 서비스가 복구되었다고
발표했습니다 . 또한 영국 당국에 해당 사건을 전달했다고 밝혔습니다.
피해를 입은 모든 분들께는 전액 보상이 지급될 것입니다.
최종 금액은 아직 발표되지 않았습니다. 추정치는 주로 공격자의 주소로 추정되는 곳으로 향하는 이동 경로를 기반으로 합니다. 정확한 피해자 수와 배상 조건 또한 아직 확정되지 않았습니다.
블록체인 자체는 손상되지 않았지만, 폴리마켓의 인터페이스는 그렇지 않았습니다.
최초의 온체인 분석 결과는 웹사이트 성능 모니터링 전문 영국 기업인 DebugBear를 지목했습니다. DebugBear의 실시간 사용자 모니터링(Real User Monitoring) 서비스는 고객사 페이지에 통합된 스크립트를 사용하여 로딩 시간과 방문자 경험을 측정합니다.
해당 인프라가 손상된 후, 정상적인 스크립트가 악성 코드를 포함하도록 교체되거나 수정된 것으로 알려졌습니다. 이 악성 코드는 방문자가 폴리마켓에 로그인했는지 확인한 후, 활성 세션을 이용하여 보유 포지션을 매도하고 자산을 이전하려고 시도했습니다.
허드슨 록의 연구원들은 이 코드에서 자금 수령인 주소를 확인했습니다. 블록체인 분석 결과, 약 257만 달러 상당의 2,860만 POL 토큰이 여러 지갑으로 분산된 것으로 나타났습니다.DebugBear는 “진행 중인 보안 사고” 를
인정 하고 고객들에게 임베디드 코드를 제거해 줄 것을 요청했습니다. 이 점이 중요합니다. 공격자는 Polygon을 해킹하거나 온체인 거래를 위조하거나 예측 시장의 핵심 스마트 계약을 손상시키지 않았습니다. 그들은 운영 준비 및 승인에 사용되는 웹 레이어를 탈취했습니다.
따라서 플랫폼은 기술적으로는 비관리형 방식을 유지하면서도 인터페이스를 통해 사용자를 노출할 수 있습니다. 브라우저가 외부 구성 요소를 로드하면 해당 제공자는 간접적으로 신뢰의 위치를 물려받게 됩니다. 만약 해당 제공자가 손상될 경우, 표시되는 코드는 프로토콜 자체의 결함보다 훨씬 더 위험할 수 있습니다.
두 건의 유사한 공격으로 구조적 위험이 드러났습니다
이번 사건은 단지 한 건의 사례가 아니라는 점에서 더욱 우려스럽습니다. 지난 6월, 다른 서비스 제공업체의 시스템이 해킹당하면서 폴리마켓(Polymarket) 인터페이스에 악성 코드가 주입되었고, 15개 미만의 계정에서 약 3백만 달러가 도난당했습니다.
두 사건을 합치면 불과 몇 달 만에 제3자 제공업체를 통해 약 560만 달러가 빼돌려졌을 것입니다. 이러한 반복적인 발생은 논쟁의 초점을 바꾸어 놓습니다. 이제 문제는 단순히 제공업체의 실패가 아니라, 폴리마켓이 자사 사이트에서 실행되는 스크립트를 어떻게 통제하는가에 있습니다.
보상 약속은 거래자의 직접적인 금전적 손실을 제한하지만, 운영상의 위험을 완전히 제거하는 것은 아닙니다. 변동성이 큰 시장에서 매도한 포지션을 항상 동일하게 재구성할 수 있는 것은 아닙니다. 따라서 보상 범위는 유용된 자금만 보상할지, 아니면 사용자의 의사와 상관없이 청산된 포지션의 가치까지 포함할지를 결정해야 합니다.이번
사건은 개인 지갑이 모든 시나리오를 보호해 주지는 않는다는 사실을 다시 한번 상기시켜 줍니다. 활성 세션, 여전히 유효한 인증 또는 손상된 인터페이스를 통해 얻은 서명만으로도 충분할 수 있습니다. 폴리마켓의 진정한 과제는 이제 외부 의존도를 줄이고 제2의 도구가 다시 금융 거래를 좌우하지 못하도록 막는 것입니다.
