Polymarket, 1,000만 달러 도난 카드 공격 속 자금세탁방지 규칙 삭제 — Bitcoin(BTC) 주목

1,000만 달러 규모 도난 카드 작전

범죄 조직이 지난 2월부터 Polymarket의 미국 플랫폼을 통해 약 1,000만 달러를 세탁하려다 실패한 사건이 확인됐다. 수법은 전형적이었다. 도난당한 직불카드 수천 장을 수천 개 계정에 연결해 베팅 자금으로 충전하고, 그 수익을 자신들이 통제하는 계좌로 인출하려 한 것이다. 입금을 처리했던 Checkout.com이 이 계획을 적발해 정점 때는 Polymarket 미국 입금의 80% 이상을 사기로 거부했는데, 이는 업계 표준 수준인 약 1%에 견줘 극단적으로 높은 수치다. 공격은 매우 집중적으로 이뤄졌다. 약 7명의 사용자가 대부분의 거래를 담당했고, 단일 계정 하나만으로 약 4,000건의 별도 입금을 시도했다. 토요일에 발표된 조사는 1,000만 달러 중 실제로 플랫폼 밖으로 나간 금액은 확인하지 못했으며, 보도에 인용된 관계자는 입금 시도 대부분이 실패했다고 말했다.

더 무거운 파장은 Polymarket 내부 대응에서 터졌다. 사기성 입금이 쌓이는 가운데 정상 인출도 적체되자, 경영진은 자금을 입금과 동일한 결제 수단으로만 인출해야 한다는 규칙을 삭제했다. 이 규칙이야말로 도난 카드로 인한 자금이 깨끗한 계좌에 도달하지 못하게 막는 표준 안전장치다. 직원들은 이 변경이 자금세탁을 부추긴다고 경고했지만, 경영진은 기존 통제로 충분하다고 버텼다. CEO Shayne Coplan은 직원들에게 성장을 우선하고 규제 과징금은 나중에 다루라고 지시한 것으로 전해졌다. 최고 컴플라이언스 책임자 Andrew Clifford는 사기 관련 상세 보고서를 제출한 뒤 4월에 사임했고, 미국 CEO Justin Hertzberg는 해고됐으며, 미국 규제와 자금세탁방지 총괄 책임자들도 떠났다. 로펌 Sullivan & Cromwell의 내부 검토는 플랫폼이 규정을 준수했다고 결론내렸다.

사기율은 플랫폼이 사용자당 연결 직불카드 수를 제한하고 검증 업체 Riskified를 도입한 뒤인 5월에는 업계 정상 수준으로 돌아온 것으로 전해진다. 그러나 7월 말 별도의 가입 결함이 또 터졌다. 피해자의 주민번호(사회보장번호)를 확보한 공격자가 비밀번호를 전혀 몰라도 연결된 은행계좌와 카드가 묶인 약 500개 계정을 인수할 수 있었던 것이다. 프라이빗 키가 노출된 암호학적 사고가 아니라 신원 확인의 실패라는 점에서 성격이 다르다. CFTC(상품선물거래위원회)는 이제 이 사기를 조사 중이며, 직원들에게 기록 보존을 지시했다.

감시망에 걸린 CFTC 지정 시장

컴플라이언스 기록이 이번 사건에서 더 무겁게 작동하는 이유는 간단하다. 규제기관의 등록 기록에 따르면 Polymarket 미국을 운영하는 QCX LLC는 2025년 7월 9일 지정계약시장(DCM) 지위를 부여받았고 현재도 지정 상태로 등록돼 있다. 이는 플랫폼이 미국 연방 감시 하의 공식 파생상품 체제 안에 들어와 있음을 의미한다. 바로 그래서 카드 사기, 고객 확인 허점, 완화된 인출 통제가 지정 거래소에서 벌어지는 것이 탈중앙화 프로토콜 해킹과는 전혀 다른 규제적 무게를 갖는다.

결제 측의 압박도 이 그림을 뒷받침한다. Visa가 사기 거래 급증을 문제 삼아 Checkout.com에 Polymarket 관련 통제 강화를 요구했고, 결제업체는 다시 플랫폼에 더 강한 조치를 요구한 것으로 전해진다. 정보공개청구로 확보된 기록은 CFTC가 Polymarket 여러 시장에서 의심되는 내부자 거래도 조사했음을 보여준다. 전직 미국 대통령의 사면 관련 계약, 이란 관련 이벤트, 구글 연간 검색 순위 계약이 대상이었으며, 이란 시장의 계정 집단은 약 240만 달러를 벌었고 사면 시장의 한 트레이더는 약 30만 달러를 챙겼다.

자본시장은 그럼에도 성장 스토리에 후한 평가를 내리고 있다. Polymarket은 기업가치 210억 달러를 기준으로 약 10억 달러를 조달 중이며, Donald Trump Jr.의 1789 Capital은 기존 투자 2억 달러 위에 약 3억 달러를 추가했다. 전 Amazon CFO Warren Jenson이 초대 재무책임자로 선임됐고, 2027년 IPO도 논의되고 있다고 전해진다. 그러나 규모가 커지면 판돈도 커진다. 2026 시즌 첫 NFL 주말 일요일에 예측시장 거래량이 약 31억 2,000만 달러, 전날 대학 미식축구로 약 31억 7,000만 달러가 발생했다. 주말 전체로 Kalshi는 약 48억 9,000만 달러를 처리했고 Polymarket은 약 4억 400만 달러였다. 업계 조사는 올해 섹터 월 거래량을 약 210억 달러로 추산한다. 이런 규모의 자금 유입 — 상당 부분 카드 네트워크와 스테이블코인 잔액으로 충당된다 — 이 속도 우선 문화와 만나면 컴플라이언스 역량 자체가 곧 제품이 된다. 거래소 선택 시 플랫폼 리스크를 수수료와 유동성만큼 가격에 반영해야 할 때다. 시장을 실시간으로 추적하려는 독자는 Gate에서 현물·선물 가격을 실시간으로 확인할 수 있다.

컴플라이언스 역량이 승자를 가른다

두 갈래 사실이 하나의 결론으로 수렴한다. 예측시장은 자신들을 여기까지 끌어온 통제 인프라의 크기를 이미 벗어났다는 것이다. 우리가 계속 기준점으로 돌아오는 기록은 CFTC의 공식 등록부, 즉 QCX LLC의 DCM 지정이다. 이는 2월의 결정들이 명백히 이행하지 못한 수준의 감독 의무를 부과하며, 기록 보존 명령과 함께 진행 중인 조사는 청구서가 아직 도래할 수 있음을 시사한다. Bitcoin (BTC)이 집필 시점 기준 8만 6,570달러 부근에서 견조한 가운데 주류 자본이 예측 플랫폼으로 순환하고 있어, 예외 사례가 소수 포럼이 아니라 머리글에 오르는 시대가 됐다. 플랫폼 리스크에 대한 비트코인 맥시멀리즘의 오래된 논거가 되살아날 대목이며, 감시에 견디도록 설계된 운영자와 DeFi 보험 같은 보호장치가 승자가 될 것이다.