폴리마켓 피해 지갑 95% 환급…보상 예정액 390만달러

폴리마켓(Polymarket)은 외부 스크립트 침해로 자금이 빠져나간 피해 지갑의 95%에 전액 환급을 마쳤다고 밝혔다. 직접 피해와 거래 중단 관련 손실을 합한 보상 예정액은 390만달러(약 52억원)다.

폴리마켓은 사고 경과 공지에서 탈취액 270만달러(약 36억원)에 거래 중단 관련 손실 보상 120만달러(약 16억원)를 더해 총 390만달러를 보상한다고 설명했다. 두 금액은 직접 피해와 거래 중단에 따른 손실 보상을 각각 가리킨다.

환급 대상 지갑은 온체인 기록과 회사의 거래 데이터로 식별했으며, 별도 신청은 필요하지 않다고 폴리마켓은 안내했다. 환급률 95%는 전액 환급을 마친 피해 지갑의 비율로, 피해자 수나 전체 피해액의 95%를 뜻하지 않는다.

폴리마켓 상태 페이지는 장애 시간을 10월 30일 오전 2시 38분부터 3시 15분까지 한국시간으로 기록했다. 공격은 사이트를 열어 둔 일부 이용자의 활성 로그인 세션을 이용해 포지션을 매도하고 지갑 자금을 옮기는 방식으로 이뤄졌다.

사고는 사이트에 불러온 제3자 성능 모니터링 스크립트가 악성 코드로 바뀌면서 발생했다. 외부 스크립트가 침해된 웹사이트에서 이용자의 세션을 악용한 사례다.

폴리마켓은 문제의 스크립트와 캐시를 제거하고 거래와 중계 서비스를 잠시 중단했다. 이후 로그인 세션을 초기화하고 서비스를 재개했다.

온체인 분석업체 비트쿼리(Bitquery)는 분석 자료에서 10월 30일 오전 2시 10분부터 3시 10분까지 폴리마켓 계정 737개에서 약 273만달러(약 36억원)가 빠져나간 것으로 집계했다. 계정 수는 피해자 수와 같다고 볼 수 없다.

비트쿼리는 출금 거래에 정상적인 승인이 사용됐으며 스마트 계약 자체는 침해되지 않았다고 분석했다. 회사가 밝힌 외부 스크립트 침해와 온체인 분석업체가 파악한 거래 양상은 웹사이트의 보안 사고와 스마트 계약 침해를 구분한다.

앞서 본지가 폴리마켓의 거래 중단과 피해 보상 약속을 전한 보도는 사고 초기 대응을 다뤘다. 이번 공지는 환급 진행률과 총 보상 예정액을 구체적으로 밝혔다.

바이낸스(Binance)에서도 같은 날 별도의 대규모 자산 탈취 사건이 발생했다. 바이낸스는 초기 공지에서 총 영향 규모를 약 63억달러(약 8조4000억원), 온체인에서 동결한 자산을 약 30억달러(약 4조원)로 추산했다.

바이낸스는 고객 자금이 안전하며 손실은 SAFU와 회사 자금으로 부담하겠다고 밝혔다. 온체인 동결액은 이용자 잔액 보전을 위해 별도로 충당한 자산과 다른 수치다.

미국 연방수사국(FBI)은 바이낸스 사건을 북한의 사이버 활동인 트레이더트레이터(TraderTraitor) 소행으로 지목했다. 바이낸스는 초기 조사에서 개발·운영 담당자 노트북 침해 가능성을 제시했지만 구체적인 침입 경로는 확정하지 않았다.

폴리마켓 사건은 제3자 스크립트 침해와 이용자 로그인 세션 악용으로 설명됐다. 두 사건이 같은 날 벌어졌지만, 서로 연계됐다는 근거는 제시되지 않았다.

비트코인(BTC) 가격은 인베스팅닷컴의 바이낸스 비트코인·달러 일간 가격표에서 10월 31일 종가 7만7582달러(약 1억357만원)로 표시됐다. 가격표에는 일간 집계 기준 시간대가 없어 한국시간 특정 시점의 시세로 볼 수 없다.

바이낸스는 복구 업데이트에서 11월 1일 오후 3시부터 6시 사이 한국시간 기준으로 출금 1단계를 재개할 계획이라고 공지했다. 비트코인과 이더리움(ETH) 등 점검을 마친 자산부터 출금을 순차적으로 열고, 추가 자산은 점검 완료 뒤 포함할 예정이라고 밝혔다.