탈중앙 예측시장 Polymarket에서 소프트웨어 공급망 공격으로 수백만달러가 탈취되며, 스마트컨트랙트 보안과 핀테크 규제의 연계 필요성이 부각됨
- BleepingComputer는 탈중앙화 예측시장 플랫폼 Polymarket 일부 고객이 제3자 공급망 공격으로 약 300만달러 상당의 암호화폐를 도난당했다고 보도하며, 해커가 타사 지갑 연결 라이브러리 또는 프런트엔드 공급자를 침해해 악성 코드를 주입함으로써, 사용자의 트랜잭션을 공격자가 제어하는 주소로 리다이렉트한 것으로 분석된다고 전한다.
- 기사에 따르면 Polymarket의 스마트컨트랙트 자체는 직접 해킹되지 않았으나, 웹 지갑·브라우저 지갑·API 게이트웨이를 제공하는 외부 서비스 체인을 악용해 사용자의 서명을 가로채거나 변조하는 방식이 사용되었으며, 이는 MetaMask, WalletConnect, Ledger Live 같은 다양한 지갑 연동 솔루션과 DeFi·NFT·게임파이 플랫폼 전반에 적용 가능한 공격 기법으로 평가된다.
- BleepingComputer는 Polymarket 측 발표를 인용해, 현재까지 약 300만달러 규모의 손실이 확인됐고, 피해 주소와 거래 내역을 온체인 분석으로 추적하고 있다고 전하면서, Polymarket, Chainalysis, TRM Labs 등 분석 업체가 협력해 자금 세탁 경로와 연루 지갑을 차단하려 시도하고 있다고 설명한다.
- 이번 사건은 한국을 포함한 각국이 가상자산과 웹3 서비스를 금융 인프라의 일부로 바라볼 때, 스마트컨트랙트 코드 감사만으로는 충분하지 않고, 프런트엔드·지갑 연동·API 공급망 전체를 금융보안 규제의 범위에 포함해야 함을 시사하며, 향후 금융위원회·금융보안원·KISA 등이 ICO·거래소·예측시장·게임 토큰 등 다양한 형태의 가상자산 서비스에 대해, 공급망 보안·지갑 연동 리스크를 포괄하는 기술 규정을 마련할 필요가 있다.
- 특히 한국 기업과 스타트업이 Polymarket, Uniswap, dYdX 같은 글로벌 DeFi·예측시장과 연동된 서비스를 제공할 경우, 이와 유사한 공급망 해킹이 발생했을 때 개인정보보호법, 전자금융거래법, 특정금융정보법 등 어떤 규제를 우선 적용할지 명확하지 않은 상황이므로, 이번 사건을 계기로 웹3 보안사고에 대한 신고·조사·제재 기준을 사전에 정비하는 것이 중요하다.
Polymarket 해킹은 스마트컨트랙트보다 프런트엔드·지갑 공급망이 더 취약할 수 있음을 보여주며, 한국 금융·가상자산 규제에서도 공급망 보안 요건을 명확히 포함하는 것이 시급하다.
주요 용어: 공급망 공격(타사 라이브러리·서비스를 침해해 최종 서비스를 공격하는 기법), DeFi(탈중앙화 금융으로 스마트컨트랙트를 기반으로 한 금융 서비스), 예측시장(참가자가 미래 사건 결과에 베팅하는 금융·정보 플랫폼)
출처: BleepingComputer