폴리마켓, 해결 공지 6분 뒤 10.99달러 추가 인출 포착

폴리마켓(Polymarket)이 국제 플랫폼의 보안 사고를 해결했다고 공지한 지 6분 뒤, 앞서 자금이 빠져나간 계정에서 10.99달러(약 1만4700원)가 추가 인출된 거래가 포착됐다.

비트쿼리(Bitquery)는 30일 오전 2시 10분부터 3시 10분까지 폴리마켓 계정 737개에서 발생한 인출 985건을 약 273만달러(약 36억5000만원)로 집계했다. 원화 환산에는 10월 29일 달러·원 중간값인 1달러당 1,337.325원을 적용했다. 737개는 계정 수로 고유 피해자 737명을 뜻하지 않으며, 273만달러도 특정 경로에서 파악한 인출액이지 폴리마켓의 공식 피해액은 아니다.

폴리마켓은 공식 사고 기록에서 오전 3시 5분 국제 플랫폼을 주문 취소만 가능한 상태로 바꾸고 거래 전송을 담당하는 릴레이어 작업을 중단했다고 밝혔다. 오전 3시 37분에는 제3자 공급업체 한 곳이 침해됐으며 문제를 수정했다고 알렸다.

폴리마켓은 사건을 관련 수사기관에 넘겼고 영향을 받은 이용자의 손실을 보전하겠다고 밝혔다. 사고 기록의 상태는 오전 4시 5분 ‘해결’로 바뀌었다.

추가 인출은 오전 4시 11분 발생했다. 앞서 자금이 빠져나간 계정에서 10.99달러가 같은 경로로 이동했으며, 오전 4시 49분까지 살핀 거래 중 해결 공지 이후 확인된 추가 인출은 이 한 건이었다. 이 거래만으로 공격이 계속됐다고 단정할 수는 없다.

릴레이어는 이용자가 승인한 거래를 블록체인에 전송하는 서비스다. 비트쿼리는 앞선 인출 985건이 유효한 승인 절차를 거쳐 폴리마켓 릴레이어를 통해 처리됐다고 분석했다.

온체인 기록에는 승인 자체가 유효했는지는 남지만, 누가 승인을 만들었고 서명이 어떤 경로로 이뤄졌는지는 나타나지 않는다. 따라서 이 분석만으로 스마트계약 자체가 침해됐다고 결론 내릴 수는 없다.

보안업체 허드슨록(Hudson Rock)은 DebugBear 도메인에서 확보한 스크립트가 1만5187바이트였으며, 두 차례 내려받은 파일의 내용이 같았다고 밝혔다. 폴리마켓의 공개 빌드 정보에서는 해당 스크립트를 제거했다는 변경 기록도 확인했다.

허드슨록이 분석한 코드에는 로그인한 이용자의 거래 클라이언트와 서명 수단을 찾고, 포지션 매도나 자산 이체를 시도하는 기능이 담겨 있었다. 이는 스크립트의 설계를 설명하는 내용이다.

허드슨록은 코드를 실제 계정에서 실행해 인출 과정을 재현하지 않았다. 따라서 스크립트의 기능 분석과 실제 성공한 거래는 구분해야 한다.

스크립트 제거 변경이 담긴 빌드의 시각은 30일 오전 2시 59분 20초였다. 이 시각은 빌드 생성 시점으로, 실제 배포 시각을 뜻하지 않는다.

빌드 기록만으로 이미 열린 브라우저 화면이나 캐시에서 스크립트가 사라진 시각도 알 수 없다. 스크립트 분석 결과와 온체인 인출 기록을 같은 거래의 원인과 결과로 직접 연결할 근거는 제시되지 않았다.

폴리마켓은 6월 25일 공지에서도 제3자 업체 침해로 일부 이용자에게 악성 스크립트가 노출됐다고 발표하고, 피해 이용자에게 환급하겠다고 밝혔다. 당시 발표 내용은 테크크런치 보도에서도 전해졌다.

두 사고 모두 제3자 업체 침해가 언급됐지만 같은 업체나 침투 경로에서 비롯됐다는 근거는 없다. 폴리마켓은 이번 사고의 공급업체명과 공식 피해 계정 수, 총 피해액을 공개하지 않았으며 보상 지급 일정도 밝히지 않았다.

30일 오후 2시 32분 기준 폴리마켓 상태 페이지는 모든 시스템을 정상으로 표시했다.