폴리마켓, 외부 스크립트 해킹에 270만 달러 피해…390만 달러 반환
코인용
폴리마켓, 30일 새벽 한 시간 동안 지갑 726개에서 270만 달러 탈취
689개 지갑 전액 환불…거래 중단 손실 119만 달러 더해 총 390만 달러 반환
성능 측정 업체 디버그베어 스크립트가 악성 코드로 바뀐 것으로 분석돼
예측시장 폴리마켓(Polymarket)이 외부 업체 스크립트를 통한 해킹으로 지갑 726개에서 270만 달러가 빠져나갔다고 밝혔다. 폴리마켓은 30일(현지시간) 공식 X 계정에서 이 가운데 689개 지갑에 전액을 돌려줬고, 거래 중단으로 손해를 본 이용자 몫까지 합쳐 모두 390만 달러를 반환한다고 발표했다.
새벽 2시 10분부터 한 시간
공격은 한국 시각 30일 새벽에 벌어졌다. 블록체인 분석업체 비트쿼리(Bitquery)와 보안업체 리포트 URI(Report URI)가 공개한 온체인 기록을 시간순으로 보면 다음과 같다.
- 공격자 지갑에 첫 POL(폴리곤 코인) 입금
- 한 거래자가 X에 "80만 달러를 털렸다"며 계정 점검을 당부
- 폴리마켓, 문제의 스크립트를 뺀 웹사이트 새 버전 배포
- 성능 측정 업체 디버그베어(DebugBear), "보안 사고 영향을 받고 있다"며 고객사에 삽입 코드 삭제 요청
- 폴리마켓, 주문 취소만 받는 모드로 바꾸고 거래 중계 기능 중단(디스코드 공지)
- 폴리마켓, 726개 중 689개 지갑 전액 환불 발표
비트쿼리는 탈취가 세계 표준시 기준 29일 17시 10분부터 18시 10분 사이, 한국 시각으로는 30일 새벽 2시 10분부터 3시 10분 사이에 이뤄졌다고 분석했다. 폴리마켓은 "공격은 침해된 외부 공급업체를 통해 들어왔고 한 시간 안에 제거했다"고 밝혔다.
성능 측정 스크립트가 지갑을 비웠다
폴리마켓은 업체 이름을 밝히지 않았다. 다만 리포트 URI를 세운 보안 연구자 스콧 헬름(Scott Helme)은 폴리마켓 웹사이트가 불러오던 디버그베어의 페이지 속도 측정 스크립트가 같은 주소에서 악성 코드로 바뀌었다고 분석했다. 원래 6만493바이트였던 파일이 1만5,187바이트짜리 탈취 코드로 교체됐고, 폴리마켓의 배포 기록에는 "디버그베어 RUM 스크립트 제거"라는 변경 내역이 남아 있다.
헬름에 따르면 이 코드는 폴리마켓에 로그인해 있던 이용자의 브라우저에서 사이트의 주문 기능을 가로챘다. 개인 지갑을 연결한 이용자는 보유 포지션(예측 결과 토큰)이 한꺼번에 공격자 주소로 옮겨졌고, 이메일로 가입한 이용자는 포지션이 현재가의 97%, 50%, 최저 호가 순으로 헐값에 팔렸다. 남은 현금은 POL로 바뀌어 공격자에게 넘어갔다. 모든 거래가 폴리마켓의 정상 중계 경로로 처리돼 겉보기에는 평범한 주문과 구별되지 않았다. 스크립트를 불러오는 주소는 공격 전후로 똑같고 파일 내용만 바뀌었기 때문에, 허용 주소 목록으로 막는 브라우저 보안 정책(CSP)도 이를 걸러내지 못했다는 것이 헬름의 설명이다.
리포트 URI는 공격자 지갑에 한국 시각 30일 새벽 3시 20분께 POL 2,863만여 개, 약 260만 달러어치가 쌓였다고 집계했다. POL은 업비트와 빗썸 원화마켓에 상장된 코인으로, 31일 낮 12시 30분 기준 두 거래소에서 모두 125원에 거래됐다.
피해 270만 달러에 반환은 390만 달러
폴리마켓은 직접 털린 270만 달러에 더해, 거래 중단 동안 손실을 봤거나 포지션을 빼앗긴 지갑 약 5,500개에 119만 달러를 30일부터 지급한다고 밝혔다. 회사는 "청구나 문의 접수는 필요 없다"며 "수사기관과 함께 조사 중이며 사고 경위 보고서를 공개하겠다"고 했다. 남은 37개 지갑은 확인을 거치는 대로 지급한다.
피해는 소수 계정에 몰렸다. 비트쿼리는 737개 계정에서 273만 달러가 빠져나갔고 계정당 피해액 중간값은 171달러라고 분석했다. 10만 달러 넘게 잃은 4개 계정이 전체 피해의 43%를 차지했다. 폴리마켓 발표(726개 지갑)와 비트쿼리 집계는 계정 수에서 조금 차이가 난다.
6월에도 외부 업체 경로로 300만 달러
폴리마켓이 외부 업체를 통해 공격받은 것은 올해 들어 두 번째다. 6월 25일에도 외부 업체가 뚫리면서 웹사이트에 악성 스크립트가 심겨 약 300만 달러가 빠져나갔다. 블록체인 분석업체 버블맵스는 당시 피해 계정을 15개 미만으로 집계했다. 폴리마켓은 그때도 피해액 전액을 돌려주겠다고 밝혔다. 5월에는 직원들이 이용자 보상금 지급에 쓰던 회사 지갑에서 약 70만 달러가 빠져나가기도 했다.
USDT