외부 협력업체 침해 뒤 계정 자금 빠져나가
미국 예측시장 플랫폼 폴리마켓에서 외부 협력업체의 보안 침해를 거쳐 이용자 자금이 유출되는 사고가 발생했다. 월스트리트저널(WSJ)은 10월 29일(현지시간) 폴리마켓 이용자 계정 700여 개에서 최소 260만달러가 빠져나갔다고 보도했다. 한국시간으로는 10월 30일에 해당하는 내용이다.
미국 경제매체 CNBC도 폴리마켓 이용자들이 소셜미디어를 통해 승인하지 않은 출금이 발생했다고 알렸다고 전했다. 폴리마켓은 피해 이용자들에게 손실을 전액 보상하겠다고 밝혔다. 사고 직후 국제 거래 플랫폼의 거래를 일시 중단하고 보안 점검을 진행했으며, 미국 동부시간 기준 오후 3시께 거래를 재개했다.
| 항목 | 확인된 내용 |
|---|---|
| 피해 계정 | WSJ 기준 700여 개 |
| 피해액 | 최소 260만달러 |
| 블록체인 분석 | 710개 지갑에서 최소 270만달러 추산 |
블록체인 분석 수치와 집계 기준 달라
피해 규모는 집계 방식에 따라 차이가 났다. 분석업체 베팅인텔리전스와 폴리사이트는 블록체인 거래 데이터를 바탕으로 710개 지갑에서 최소 270만달러가 빠져나간 것으로 추산했다. 이는 이용자 계정과 온체인 지갑을 구분한 WSJ의 집계와 기준이 다르기 때문에 같은 수치로 볼 수 없다.
사고 원인으로는 웹사이트 성능 모니터링 업체 디버그베어(DebugBear)의 보안 침해가 지목됐다. 디버그베어는 방문자의 접속 속도와 이용 환경을 분석하는 서비스를 제공한다. 해커들이 해당 업체의 서비스를 통해 악성 코드를 유포했고, 그 결과 폴리마켓 이용자 계정의 자금에 접근한 것으로 알려졌다.
국제 플랫폼과 미국 전용 서비스는 별도 운영
폴리마켓은 정치·경제·스포츠 등 사건의 결과를 ‘예’ 또는 ‘아니오’ 형태의 계약으로 거래하는 플랫폼이다. 이용자는 특정 사건의 결과를 예측해 계약을 거래하며, 예측이 맞으면 계약 조건에 따른 수익을 얻고 틀리면 투자금을 잃는 구조다.
이번 사고가 발생한 국제 플랫폼은 블록체인과 가상자산을 기반으로 운영되는 디파이 서비스다. 반면 미국 전용 플랫폼은 별도로 운영되는 규제 대상 거래소로 알려졌다. 폴리마켓은 미국 전용 플랫폼은 이번 사고의 영향을 받지 않았다고 밝혔다.
- 폴리마켓은 피해 이용자 자금을 전액 보상하겠다고 밝혔다.
- 디버그베어 본사가 있는 영국 사법당국에 사건을 신고했다.
- 국제 플랫폼은 점검 뒤 미국 동부시간 기준 오후 3시께 거래를 재개했다.
반복된 보안 사고와 예측시장 규제 논란
폴리마켓은 올해 6월에도 외부 협력업체와 관련된 보안 침해로 이용자 자금이 유출되는 사고를 겪고 보상 조치를 진행했다. 미국 전용 플랫폼에서는 도난 직불카드를 이용한 사기와 계정 탈취 공격도 발생한 것으로 전해졌다. 이번 사고는 자체 시스템뿐 아니라 외부 서비스 공급망의 보안 문제가 이용자 자산으로 이어질 수 있다는 점을 보여줬다.
예측시장에 대한 규제 논쟁도 이어지고 있다. 미국 주 정부와 연방 의원, 카지노업계는 예측시장 상품이 금융 파생상품에 해당하는지, 불법 도박에 해당하는지를 두고 문제를 제기하고 있다. 폴리마켓과 경쟁사 칼시(Kalshi)는 예측시장 상품의 법적 성격과 규제 권한을 둘러싸고 여러 소송에 연루된 상태다.
폴리마켓은 사업 확대도 추진하고 있다. 기업공개(IPO) 가능성을 투자자들과 논의하는 등 성장 계획이 거론되는 가운데, 이번 사고와 관련해서는 피해 보상과 영국 사법당국 신고 방침을 밝혔다. 가상자산이나 디파이 관련 사고 피해 신고는 금융감독원 불법사금융·투자사기 신고센터 1332와 경찰청 사이버범죄 신고시스템 182(ecrm.police.go.kr)를 이용할 수 있다.
