폴리마켓의 가입 과정에서 보안 허점이 발생해, 지난 7월 말 도난당한 개인정보만으로 공격자들이 기존 미국 계정 약 500개를 가로챘고, 연결된 결제수단까지 접근할 수 있었던 것으로 전해졌다.
핵심 내용:
- 등록 버그로 트레이더의 개인정보만 있으면 사용자명이나 비밀번호 없이도 실제 계정에 들어갈 수 있었던 것으로 알려짐
- 연결된 은행계좌와 체크카드가 노출됐고, 일부 이용자는 수천달러 손실을 주장했지만 고객지원은 침묵했다는 증언도 나옴
- 이번 사태는 지난 2월 도난 체크카드를 활용해 최소 1,000만달러를 빼돌리려 한 사기 시도에 이어 발생
폴리마켓 가입 버그, 트레이더 계정 노출
토요일 공개된 한 언론 조사에 따르면, 사회보장번호 등 기존 트레이더의 개인정보를 이용해 새 계정을 만든 사람은 별도의 사용자명이나 비밀번호 없이 곧바로 해당 트레이더의 실제 프로필로 진입할 수 있었던 것으로 나타났다found.
침입자는 사용자명도, 비밀번호도, 탈취된 휴대전화도 필요하지 않았고, 해당 프로필에 연결된 은행계좌와 체크카드까지 이용할 수 있었던 것으로 전해졌다.
사정을 잘 아는 한 관계자는 전체 피해 규모는 크지 않다고 설명했지만 구체적인 금액은 밝히지 않았다. 회사 대변인은 이번 사건으로 발생한 손실은 폴리마켓이 보전할 것이라고 말했다. 그러나 이용자들의 증언은 달랐다. 수천달러대 손실이 발생했고, 수주 동안 고객지원에도 답이 없었다는 주장이다.
한 트레이더는 7월 로그인했을 때 자신의 포지션이 청산돼 있었고, 5,783.51달러의 이익이 자신 명의가 아닌 체크카드로 이체돼 있었다고 말했다. 그는 회사가 자신의 계정에 25달러를 입금했지만 설명은 없었고, 본인이 신원확인 서류를 두 차례 제출한 뒤에는 계정까지 동결됐다고 전했다.
관련 기사: 엔비디아 2030년 전망, 주가 727달러~2만8560달러까지 벌어져
체크아웃닷컴 경고 뒤에 나온 코플란의 대응
이번 계정 취약점은 2월 더 큰 규모의 사기 물결 이후 발생했다. 당시 범인들은 도난당한 체크카드를 수천 개의 신규 미국 계정에 연결해 최소 1,000만달러를 빼내려 했다. 결제 처리업체 체크아웃닷컴은 한때 입금의 80% 이상을 사기로 판단해 거절했는데, 업계 평균이 약 1% 수준인 점을 고려하면 이례적인 수준이었다. 이후 폴리마켓이 계정당 체크카드 수를 제한하고 사기 방지 업체 리스크파이드를 도입하면서, 5월에는 사기율이 정상 수준으로 돌아왔다.
준법 부서 직원들은 이 문제를 CEO 셰인 코플란에게 보고했지만, 그는 성장에 집중하고 규제당국에 적발되면 벌금을 내면 된다고 말했다고 현직과 전직 직원들은 전했다. 보도에 따르면 관련자들은 이 같은 답변에 적잖이 놀랐다고 한다.
폴리마켓 보안 이력 도마 위에
분석가들은 현재 약 210억달러 기업가치로 투자 유치를 추진 중인 폴리마켓에서 성장 속도가 컴플라이언스를 앞질렀는지 의문을 제기해 왔다questioned. 이들은 또 1,000만달러라는 수치는 실제 확정 손실이 아니라 사기 시도 금액이라는 점도 지적한다. 폴리마켓은 시스템을 강화했다고 밝히고 있으며, 법률사무소 설리번 앤 크롬웰의 내부 검토에서도 규정을 준수한 것으로 결론 났다.
7월 취약점은 플랫폼에 이어진 악재의 정점이었다. 폴리마켓은 아직 가입 버그에 대한 공식 사후보고서를 공개하지 않았다. 앞서 6월에는 침해된 협력업체가 웹사이트에 악성 스크립트를 삽입한 사실을 확인했으며, 공격자들이 사용자 지갑 11개에서 약 310만달러를 빼갔다고 인정했다. 이후 회사는 전액 보상을 약속했다.
