폴리마켓, 제3자 침해로 사용자 자산 유출에 거래 전면 중단

해외 플랫폼 거래 중단

예측시장 플랫폼 폴리마켓이 목요일 제3자 서비스 제공사 침해로 사용자 계정 자산이 인출되는 사고가 발생하면서 해외 플랫폼의 모든 거래를 중단했다. 회사 상태 페이지에 따르면 Polymarket.com에 영향을 준 문제는 원인 파악과 조치가 끝났고, 침해된 제공사는 관련 수사기관에 넘겨졌으며, 피해 사용자에게는 "전액 보상"이 이뤄질 예정이다. 회사는 피해 계정 수와 유출 총액은 밝히지 않았다. 이번 중단은 자기관리형 지갑으로 예측시장에 참여하는 지갑 기반 해외 서비스에 적용되며, 미국 상품선물거래위원회(CFTC) 라이선스로 별도 규제를 받는 미국 거래소는 피해 대상에 포함되지 않았다. 상태 페이지 갱신 직후 커뮤니티 운영 계정이 공식 문구와 사실상 동일한 공지를 X에 올렸다. 발행 시점 기준 거래 전면 재개 일정은 제시되지 않았다.

@PolymarketTrade · X 게시물

공지를 X에 올렸다.

X에서 보기

18:05 UTC에 취소 전용 모드 진입

상태 페이지는 목요일 18:05 UTC에 사고를 처음 공지했고, 예측 거래 API(예측시장 주문을 체결하는 오더북)의 대규모 장애로 분류했다. 이 시점 거래소는 취소 전용 모드에 놓였다. 사용자는 기존 주문만 취소할 수 있었고 신규 주문과 체결은 처리되지 않았으며, 사용자 대신 온체인 트랜잭션을 제출하는 릴레이어 기능도 중단됐다. 계정 접속, 웹소켓 피드, 포지션 데이터, 폴리곤 정산은 장내내 유지됐다. 약 32분 뒤인 18:37 UTC 상태 페이지는 '조사 중'에서 '원인 파악'으로 단계를 올리고 원인을 침해된 제3자 제공사로 지목했다. 체결 엔진이 멈춘 동안 허용된 주문 유형은 미체결 주문 취소뿐이었고, 노출이 살아 있는 트레이더는 포지션을 정리할 수 없었다.

사용자 피해와 268만 달러 수혜 주장

회사가 공식 확인하기도 전에 유출 신고가 X에서 퍼지기 시작했다. Car라는 이름을 쓰는 트레이더는 X 게시물에서 자신의 계정에서 80만 달러가 인출됐고 지인도 60만 달러를 잃었으며, 자신의 모든 포지션이 매도됐다고 주장했다. 별개 계정 StarPlatinum은 의심 수혜 지갑의 자금 흐름을 추적했다. 해당 지갑은 17:05 UTC에 자금 수신을 시작해 17:25까지 41만 2,000달러를 보유했고, 17:50에는 202만 달러, 18:05에는 268만 달러로 정점을 찍었다. 이 계정은 수혜 지갑이 사용자 예치 잔액에서 전환된 2,860만 POL을 모았 것으로 추정하고, 예치 지갑 팩토리 프록시를 특정했으며 Relay의 대납 트랜잭션 인프라가 연루됐다고 주장했다. 이런 수치는 어느 것도 확인되지 않았다. 회사 성명은 피해자 수, 유출 총액, 공격자 주소를 언급하지 않았고 공개된 트랜잭션 해시도 없다.

@CarOnPolymarket · X 게시물

X 게시물.

X에서 보기

6월 프론트엔드 공격과 전액 보상 전례

이번 사고는 지난 6월의 사건과 구조가 같다. 당시 침해된 제3자 벤더를 통해 일부 사용자의 폴리마켓 프론트엔드에 악성 스크립트가 유입됐다. 초기 온체인 분석은 최소 11개 지갑에서 총 294만 달러의 피해를 잡았고, 이후 추정치는 310만 달러에 이르렀다. 자금은 폴리곤에서 pUSD로 인출돼 Relay를 거쳐 이더리움으로 브리지된 뒤 ETH로 스왑됐다. 회사는 당시 문제가 된 의존성을 제거했으며 피해 고객에게 전액 보상하겠다고 밝혔다. 같은 달 앞서 경쟁 플랫폼도 유사한 침해를 겪었다. Predict.fun은 10월 27일 성명에서 약 40만 USDT의 무단 전송을 확인하고, 외부 호스팅 API 문서 사이트의 침해 가능성을 추적했으며 전액 보상과 상세 사후 분석을 약속했다. 12월에는 원클릭 로그인 서비스를 노린 사건이 있었는데, 역시 같은 약점인 제3자 의존성이 지목됐다.

반복되는 제3자 의존성 문제

약 10개월간 세 차례의 사건이 모두 온체인 계약이 아닌 벤더 의존성을 경유한 점은 예측시장 스택의 구조적 취약점을 가리킨다. 폴리마켓은 폴리곤 기반의 레이어 2 네트워크 위에서 운영되며, 초기 자동화 마켓 메이커 설계에서 중앙 오더북으로 오래전 전환했지만, 공격면은 계약 감사가 다루지 못하는 호스팅 프론트엔드, 릴레이어, 예치 지갑 인프라에 놓여 있다. 세 건 모두 사용자가 악성 요청에 서명하는 순간 자금이 빠져나갔고, 손실은 확인 시점에 확정됐다. 회사의 '조치 후 보상' 대응은 일관되지만, 이번에도 제3자를 지목한 것 이외에 트랜잭션 해시, 확정된 피해액, 기술적 근본 원인은 공개하지 않았다. 관련 세부 정보가 나오기 전까지 유휴 잔액을 콜드월렛으로 옮기고 하드웨어 월렛의 작동 방식을 점검하는 것이 활성 사용자의 현실적인 방어책으로 남는다.