예측 시장 플랫폼 **폴리마켓(Polymarket)**은 공격자가 제3자 프런트엔드를 침해한 뒤 11개 이용자 지갑에서 자금을 유출해 총 310만 달러의 손실을 입었다.
플랫폼이 사용하는 자체 스마트 컨트랙트는 감사를 마친 상태였으며, 이번 사고 동안에도 무결성이 유지됐다.
보고서에 따르면, 탈취된 PUSD 토큰은 크로스체인 브리지를 통해 폴리곤(Polygon)(POL)에서 이더리움(Ethereum)(ETH)으로 옮겨졌다. 폴리마켓은 어떤 벤더가 침해됐는지 아직 공개하지 않았다.
공격 방식
프런트엔드 벤더 공격은 이용자를 플랫폼의 기반 계약과 연결하는 웹 인터페이스를 노린다. 자금은 스마트 컨트랙트가 직접 보유·관리하지만, 이용자는 제3자 소프트웨어 제공업체가 구축·유지하는 브라우저 기반 레이어를 통해 상호작용한다.
이번 사례에서 공격자는 이 인터페이스 레이어에 악성 코드를 주입한 것으로 보인다. 공격이 진행되는 동안 폴리마켓 프런트엔드와 상호작용한 일부 이용자의 지갑 승인(approval)이 다른 대상으로 우회되었고, 침해 사실이 발견되기 전까지 11개 지갑에서 자금이 빠져나갔다.
스마트 컨트랙트가 감사를 통과했더라도, 공격 벡터가 계약 레이어 ‘상단’에 있는 경우에는 보호 효과가 제한적이라는 점이 드러났다.
보안 사고 이후 심화되는 규제 조사 압박
폴리마켓은 미국 상품선물거래위원회(CFTC)가 미국 이용자의 접근 실태를 조사하기 시작한 이후, 지속적으로 높은 규제 감시를 받아왔다. 2026년까지 이어지고 있는 CFTC 조사는 폴리마켓의 예측 시장이 미국 이용자에게 제공되는 미등록 상품(커머디티) 계약에 해당하는지 여부를 중점적으로 다루고 있다.
이 플랫폼은 2024년 미국 대선 국면에서 대통령 선거 승률을 보여주는 시장 데이터가 각종 언론에 인용되면서 대중적 주목을 받았다. 그 과정에서 이용자 수가 늘어나는 동시에 규제 기관의 관심도 높아졌다. 진행 중인 CFTC 조사와 이번과 같은 대형 보안 사고가 겹치면서, 플랫폼 운영사에는 복합적인 평판 리스크가 가중되고 있다.
예측 시장의 보안 문제는 업계의 반복적인 우려 사항이다. 프런트엔드 공격은 코어 프로토콜이 아니라 제3자 공급업체를 노리는 공급망(Supply Chain) 방식이기 때문에 방어가 특히 어렵다. 지난 2년 동안 여러 디파이(DeFi) 플랫폼들이 이와 유사한 공급망형 침해 사고를 겪었다.
관련 기사: 마이크론, 236% 랠리 후 월가의 새로운 AI 집착 종목으로 부상
앞으로의 과제
폴리마켓은 피해 이용자에게 보상을 제공할지 여부를 아직 확인하지 않았다. 또한 어떤 벤더가 침해됐는지도 공개하지 않아, 제3자가 전체 공격 체인을 검증·분석하는 데 제약이 있다.
CFTC 조사는 사건을 더욱 복잡하게 만든다. 해킹에 대한 어떤 공개 발언도 현재 진행 중인 규제 절차와 교차될 수 있다. 탈취된 자금이 브리지를 통해 이더리움으로 이동했기 때문에 이론적으로는 추적이 가능하지만, 프런트엔드 벤더 침해 유형의 사고에서 자금을 회수한 사례는 대개 법 집행 기관의 적극적인 개입이 없는 한 매우 드물다.