Polygon, Austin· Kyoto 하드포크로 해결된 POL 네트워크 보안 결함 공개

오스틴·교토 하드포크, 은밀히 결함 봉쇄

Polygon Labs가 지분증명(PoS) 네트워크를 마비시킬 수 있었던 미공개 보안 취약점 여러 건을 공개적으로 밝히며, 해당 수정 사항이 이미 두 차례의 하드포크를 통해 배포 완료됐음을 확인했다. 취약점은 체인의 두 핵심 클라이언트, 즉 블록 생성을 담당하는 Bor와 검증인을 조율하는 합의 계층 Heimdall 전반에 걸쳐 있었으며, 서비스 거부(DoS) 위험, 검증인 자원 고갈, 체크포인트와 마일스톤 처리 결함을 포함한다. Polygon Labs 검증인 지원팀의 공개 설명에 따르면 체크포인트와 마일스톤은 Heimdall이 Bor의 상태를 이더리움에 주기적으로 확정하는 구간이어서, 이 경로의 결함은 최종성 보장에 특히 큰 위험으로 이어진다. 업그레이드 자체는 비공개로 설계됐다. 오스틴(Austin)과 교토(Kyoto) 하드포크는 메인넷 활성화 전에 비공개 배포 및 테스트를 거쳤고, Polygon(POL) 네트워크의 패치가 끝난 뒤에야 공개됐다. 모든 노드 운영자가 업그레이드할 시간을 벌어주기 위한 조율된 공개(coordinated disclosure) 리듬이다. 가장 심각한 문제는 Heimdall에 있었다. 특수하게 조작된 트랜잭션이 검증인에게 과도한 연산 부하를 강제해 네트워크를 흔들 수 있는 구조였다. 오스틴 하드포크는 별도로 Bor의 두 건의 서비스 거부 위험을 수정했는데, 이를 방치하면 블록 처리가 느려지거나 노드 자체가 다운될 수 있었다. Polygon은 이번 취약점 중 어느 것도 메인넷에서 악용된 정황이 관측되지 않았으며, 세부 사항이 공개되기 전에 선제적으로 수정이 반영됐다고 밝혔다. 업그레이드 압박은 이론이 아니다. 하드포크 활성화 높이를 넘긴 뒤에도 구버전을 유지하는 노드는 이미 합의에서 이탈했으며, 정식 체인에 복귀하려면 업데이트가 강제된다. 모든 Polygon PoS 노드에는 Bor v2.10.0이, 검증인과 풀노드에는 Heimdall v0.11.0이 필수이며, 두 업그레이드 모두 메인넷에서 활성 상태다. 구 MATIC인 Polygon (POL)은 현재 0.10달러 부근에서 거래되고 있다. CoinGecko 데이터 기준 주간 약 4% 하락, 월간 44% 상승, 연초 대비 2.3% 상승이다.

로손 매장 실험, Polygon 인프라 실전 투입

엔지니어들이 체인 핵심을 보강하는 동안, Polygon 인프라는 일본 편의점 계산대에서 실전 테스트를 통과하고 있다. 결제사 NetStars는 8월 17일 도쿄 오사키에 있는 Lawson Gate City Osaki Atrium 매장에서 스테이블코인 POS 실증을 진행했다. 이 시리즈는 8월 6일 로손, 블록체인 기업 HashPort, 통신사 KDDI가 다카나와 게이트웨이 시티 매장에서 HashPort Wallet로 엔화 스테이블코인 JPYC를 Polygon을 통해 결제한 데 이은 2단계다. 이번 실험은 로손의 기존 POS 시스템을 NetStars의 StarPay 플랫폼 기반 가맹점 서비스인 Stablecoin Pay에 연결해, 일상적인 매장 운영이 온체인 결제를 매끄럽게 흡수할 수 있는지 확인했다. 소매점에서 PayFi를 구현하는 초기 청사진이 작동한 셈이다. 3개 자산이 3개 체인을 넘나들었다. Solana, Morph, Polygon 위의 달러 연동 USDC와 USDT, 그리고 Polygon 위의 JPYC가 그것이다. 고객은 MetaMask 지갑으로 결제했으며, 설정을 준비하는 독자는 Polygon 네트워크를 MetaMask에 연결하는 가이드를 참고할 수 있다. NetStars가 이번 실증을 위해 개발한 브라우저 기반 DApp 흐름을 거친다. 점원은 기존 바코드 결제 옵션을 선택하고 고객의 코드를 스캔했다. POS는 결제 수단을 자동 식별해 NetStars로 전송하고 결과를 되돌려받았으며, 단말기에 새 버튼은 추가되지 않았다. 속도가 핵심 성과였다. 이번 방문에서 관측된 결제는 대략 5초 만에 완료됐고, NetStars COO Hisahisa Osafuku는 점심시간 대기줄 상황을 고려할 때 이는 의미 있는 성과라고 평가했다. 사용자는 SOL이나 Polygon (POL) 같은 각 체인의 네이티브 가스 토큰을 따로 보유할 필요가 없었다. NetStars가 해당 수수료를 대납하고 별도의 처리 수수료로 회수하며, 공개된 0.98% 가맹점 수수료와는 분리되어 있다. 규제 측면의 변수도 분명하다. USDT는 일본 금융청의 전자결제사업자 최신 등록 자산 목록에 없으며, NetStars는 계산대에서 접수한 USDT를 엔화로 전환하는 방식을 규제당국과 협의 중이고, 전환 경로가 국내인지 해외인지는 아직 결정되지 않았다. 로손의 Taro Tamura는 이번 테스트를 상업적 출시가 아닌 사전 준비 작업으로 규정했으며, 가맹점 수요는 아직 접수되지 않았다고 밝혔다. 시세를 실시간으로 확인하려는 독자는 Bitget에서 현물과 선물 가격을 추적할 수 있다.

보안 먼저, 결제 그 다음

이번 공개는 과거 이력까지 무게를 더한다. Polygon은 과거 패치되지 않은 결함으로 네트워크 중단을 겪은 바 있다. 2021년 12월 약 240억 달러 규모의 MATIC에 영향을 준 취약점과, 2025년 체인 분할을 일으킨 Bor 노드 버그가 대표적이다. 이 기록을 고려하면 오스틴·교토 문제를 메인넷 악용 발생 전에 수정한 것은 비교적 신속한 대응으로 평가된다. 업계에서도 먼저 수정 후 공개하는 방식을 표준 관행으로 보며, 이더리움·코스모스·솔라나 생태계 전반에서 유사한 조율 공개 전략이 활용된다는 점을 지적한다. 남은 과제는 두 가지다. 주요 검증인 전원이 업그레이드를 완료해 합의 분기 가능성을 제거했는지 확인하는 것, 그리고 Polygon Labs가 CVE 번호 부여나 정기 보안 보고서 같은 체계적 공개 메커니즘을 도입할지 여부다. 시장의 관심은 이제 레이어 2 경쟁 구도 속 네트워크의 위상과 zkEVM 통합 속도로 옮겨갔다.

(03:01 UTC 기준) 두 소식을 함께 읽으면 하나의 흐름이 보인다. 실사용 준비를 양쪽에서 동시에 진행하는 네트워크다. 1차 기록인 Polygon Labs의 공개 문서는 메인넷에서 악용된 취약점이 없었다는 점과 Bor v2.10.0, Heimdall v0.11.0이 이제 필수라는 점을 분명히 하며, 로손 같은 소매 파트너가 사실상 의존하는 조용한 업그레이드 경로다. 로손 실험에서 결제자가 Polygon (POL)을 직접 다루지 않는 가스 추상화 구조는, 결제 물량이 늘어나도 토큰이 배경에 머물 수 있음을 보여준다. POL은 지난 24시간 동안 약 5% 하락했고, 알트코인 시장 전반의 약세가 이어지면서 월간 상승세에도 단기 심리는 침체를 유지하고 있다.