**폴리마켓(Polymarket)**은 서드파티 벤더 스크립트가 침해되어 15개 미만 계정에서 약 300만 달러가 유출됐지만, 이용자들에게 전액을 상환하겠다고 밝혔다.
핵심 내용:
- 폴리마켓은 서드파티 벤더가 침해되면서 프런트엔드에 악성 코드가 주입됐다고 밝혔다.
- 보안 연구자들은 15개 미만의 피해 계정에서 약 300만 달러의 손실을 추적했다.
- 이번 침해는, 사용자 자금에는 영향을 주지 않았던 별도의 관리자 지갑 사고에 이어 발생했다.
폴리마켓 해킹
폴리마켓은 금요일, 공격자들이 침해된 서드파티 벤더를 이용해 프런트엔드에 악성 코드를 심어 일부 이용자들을 월릿 드레이닝 공격에 노출시켰다고 확인했다.
이번 침해는 온체인 보안 연구자 Specter가 처음 포착했으며, 피싱 캠페인으로 보이는 공격이 폴리마켓 스테이블코인 PUSD (PUSD)를 보유한 11개 이상의 월릿에서 자금을 빼갔다고 말했다.
Specter는 손실 규모를 294만 달러로 추산했고, PeckShield도 비슷한 수치를 확인하며 공격자가 Polygon (POL)에서 Ethereum (ETH)으로 자금을 브리지한 뒤 1,893 ETH로 전환했다고 밝혔다.
폴리마켓은 X의 Polymarket Traders 계정을 통해 이번 침해 사실을 인정하며, 문제가 된 의존성이 제거되었고, 피해 이용자에게는 직접 연락을 취할 것이라고 공지했다.
“오늘 아침 우리는 서드파티 벤더 하나가 침해되어 일부 사용자에게 제공되는 프런트엔드에 악성 스크립트가 주입되었음을 발견했습니다. 우리는 이를 차단하고 문제의 의존성을 제거했습니다.”라며 “피해를 입은 사용자들에게 개별적으로 연락해 전액 환불할 예정입니다.”라고 밝혔다.
함께 읽기: Anthropic 공동 창업자, AI로 인한 첫 ‘진짜 일자리 충격’이 졸업생들에게 닥치고 있다고 말하다
보안 후폭풍
플랫폼과 긴밀히 협업하고 있는 William LeGate는 문제가 해결되었음을 다시 강조하며, 피해 이용자들이 전액 보상을 받을 것이라고 말했다.
GoPlus Security는 이번 사건을 공급망 공격으로 규정하며, 약 15개 계정이 영향을 받았고 총 손실액은 300만 달러라고 설명했다.
Bubblemaps도 동일한 결론에 도달했으며, 자금이 유출되고 취약점이 봉쇄된 이후 폴리마켓의 대응을 긍정적으로 평가했다.
이번 최신 침해는 지난달 발생한 또 다른 사고에 이어 추가 압박을 더하고 있다. 당시 직원 보상 충전용 관리자 지갑이 개인 키 유출로 추정되는 사고로 약 70만 달러를 잃었다.
크립토 탐정 ZachXBT는 당시 손실을 약 52만 달러로 처음 추산했지만, 이후 Bubblemaps가 여러 주소를 추적한 뒤 더 높은 수치를 제시했다.
개발자 Josh Stevens는 6년 된 개인 키가 내부 설정을 통해 노출되었다고 설명했으며, 이후 회사는 자격 증명을 교체하고 키 관리 서비스로 이전했다고 밝혔다.
두 사고 모두 예측 시장(마켓) 자체가 아니라 그 주변 시스템에 영향을 미쳤지만, 회사가 어려운 시기를 겪고 있는 가운데 발생했다. **월스트리트저널(Wall Street Journal)**은 최근 폴리마켓이 대학생 크리에이터들에게 한 달에 2,000~3,000달러를 지급하며 연출된 베팅 영상을 게시하게 했다고 보도했으며, 또 다른 트레이더는 이달, Strategy 비트코인 매도 마켓에 대한 규칙 변경으로 50만 달러 손실을 봤다고 주장했다.
다음 읽기: 북한 블루노로프(BlueNoroff) 해커, AI로 생성한 가짜 줌(Zoom) 통화를 이용해 100명의 크립토 임원을 해킹