Polymarket, '5초 트릭'에 뚫렸다…예측 시장서 수백만 달러 빼간 구조적 취약점

구식 설계: 구조적 취약점

2024년 중반에 도입된 원래 시스템에서 폴리마켓의 5분 만기 비트코인 계약은 다음과 같이 작동했다. 트레이더들은 5분 창이 끝나는 시점의 비트코인 가격이 시작 시점보다 높을지 낮을지에 베팅했다 . 예측이 맞으면 1달러를, 틀리면 0달러를 받는 구조였다. 정산은 만기 직시에 체인링크(Chainlink)의 분산 오라클이 제공하는 단 하나의 가격 스냅샷에 의존했다 .

이러한 단일 스냅샷 설계가 취약점의 근본 원인이었다. 계약이 초단기(5분마다 새로운 계약이 24시간 내내 열림)였기 때문에, 트레이더는 폴리마켓에서 '상승' 또는 '하락'에 큰 포지션을 잡은 후, 동시에 바이낸스(Binance)나 코인베이스(Coinbase) 같은 주요 거래소에서 스냅샷 직전 몇 초 동안 비트코인 참조 가격을 움직일 수 있을 만큼 큰 현물 시장 거래를 실행할 수 있었다 . 그 결과, 폴리마켓 베팅에서 사실상 확정된 수익을 올리고, 그 비용은 쉽게 되돌릴 수 있는 일시적인 가격 충격으로 충당하는 것이 가능했다.

스탠퍼드/SMU 연구진의 발견

스탠퍼드대와 SMU 연구진이 작성한 워킹 페이퍼는 2026년 7월 arXiv에 게재되었으며, 약 2개월간의 16,000개 5분 비트코인 계약 데이터를 분석했다 . 주요 발견 사항은 다음과 같다.

• 821개 계정이 일반적인 시장 활동이 아닌 정산 조작과 일치하는 거래 패턴을 보였다 .
• 연구 기간 동안 의심되는 조작자들에게 약 128만 달러가 순진한 개인 트레이더로부터 이전된 것으로 추정된다 . 더 긴 기간으로 추정하면 연구진은 이 금액을 약 820만 달러에 가깝다고 보았다 .
• 조작은 데이터에서 명확히 감지됐다. 폴리마켓 정산 직전 10초 동안 바이낸스의 순 주문 흐름이 약 50% 급증했다가 빠르게 가격이 되돌려지는 패턴이 관찰됐다 .
• 수정이 곧 결함의 증거였다. 연구진이 15분 만기 계약(마지막 순간의 가격 영향을 본질적으로 완화해줌)을 분석했을 때, 의심스러운 거래 패턴은 완전히 사라졌다 . 이는 문제가 예측 시장 자체의 개념이 아니라 5분 만기 설계에 있었음을 보여준다 .

연구진은 이 취약점을 '구조적(structural)'이라고 표현했다 . '취약점은 구조적입니다. 소수의 나쁜 행위자 때문이 아니라 계약 설계 자체에 내재된 문제입니다.'라고 그들은 설명했다 .

TWAP 수정: 무엇이 바뀌었나

2026년 8월 7일 00:00 UTC부터, 폴리마켓의 암호화폐 상승/하락 시장은 더 이상 단일 가격 스냅샷으로 정산되지 않는다 . 대신, 체인링크 기반의 시간가중평균가격을 사용한다 . 평균화 창은 시장 기간에 따라 조정된다:

• 5분 시장: 30초 TWAP
• 15분 및 4시간 시장: 60초 TWAP

폴리마켓은 이 변경이 '시장 건전성 보호'를 위한 것이라고 명시했다 . 전환 기간 동안 유동성을 지원하기 위해 플랫폼은 8월 한 달간 모든 영향받는 시장에 100만 달러 상당의 유동성 리워드를 추가했다 .

주목할 점은 마감 가격만 평균으로 전환되었고, 시작 가격은 여전히 단일 스냅샷을 사용한다는 것이다 . 이러한 비대칭성에 대한 논평이 있긴 하지만, 정산 가격을 움직이는 것을 훨씬 더 비싸고 위험하게 만드는 핵심 수정은 조작 인센티브를 급격히 줄일 것으로 예상된다.

광범위한 규제 맥락

폴리마켓의 정산 방식 개편은 미국 상품선물거래위원회(CFTC)를 중심으로 한 복잡하고 빠르게 변화하는 규제 환경 속에서 이루어졌다:

• 2022년 CFTC 제재: 2022년 1월, CFTC는 폴리마켓(당시 Blockratize, Inc.)에 140만 달러의 벌금과 함께 거래소 외 이벤트 기반 바이너리 옵션 제공 및 스왑 실행 시설 미등록 혐의로 시정 명령을 내렸다 . 폴리마켓은 이후 모든 미국 사용자를 차단했다 .

• 연방 수사 종결 (2025년 7월): 미국 법무부(DOJ)와 CFTC는 2025년 7월 폴리마켓에 대한 각각의 조사를 기소 없이 종결했다. 이는 트럼프 행정부 하에서의 규제 기조 변화에 따른 결정으로 널리 알려졌다 .

• CFTC 승인 미국 재진출 (2025년 9월): 2025년 9월 3일, CFTC는 폴리마켓이 새로 인수한 CFTC 등록 법인(QCX LLC / Polymarket US)을 통해 미국 내 운영 재개를 허용하는 무소송 서한(no-action letter)을 발행했다. 단, 스왑 데이터 보고 및 기록 유지 조건이 붙었다 . 공식 수정 지정 명령(Amended Order of Designation)은 2025년 11월에 이어졌다 .

• 구조적 분리: 폴리마켓은 현재 두 개의 별도 플랫폼을 운영한다: 국제 거래소(polymarket.com, 미국 IP 차단)와 2025년 12월에 출시된 별도의 CFTC 규제 미국 거래소이다 . 미국 거래소는 2026년 5월 대기자 명단을 제거했으며 iOS 앱을 통해 사용자에게 개방되었다 .

• 지속적인 조사: 규제 승인에도 불구하고, CFTC는 폴리마켓의 특정 활동에 대해 '광범위한 조사'를 계속 진행 중이다. 여기에는 인플루언서 마켓에서의 가짜 베팅 및 조작된 당첨금 관련 별도 의혹이 포함되며, 2026년 6월 월스트리트저널이 보도했다 .

종합적 의미

TWAP 정산 방식 변경은 플랫폼 설계 선택이 시장 건전성에 실질적인 결과를 초래한다는 가장 직접적인 증거다. 스탠퍼드/SMU 연구는 블록체인 기반의 투명하고 감사 가능한 거래 플랫폼에서도 정산 메커니즘이 잘못된 인센티브를 만들면 구조적 취약점이 지속될 수 있음을 보여주었다 . 단순히 더 긴 창이나 평균 가격 책정으로 전환하는 것만으로 조작이 사라졌다는 사실은 공정한 예측 시장의 핵심이 투명성만이 아니라 책임 있는 설계에 있음을 시사한다.

트레이더들에게 주는 교훈은 명확하다. 한때 빠른 속도의 액션을 제공했던 5분 비트코인 시장에는 정교한 참여자들에 의한 체계적인 착취라는 보이지 않는 세금이 존재했다. 규제 기관에게 이 연구는 다른 예측 시장 설계에 유사한 취약점이 있는지 평가하기 위한 명확한 프레임워크를 제공한다.

폴리마켓이 전 세계를 위한 국제 거래소와 미국 사용자를 위한 CFTC 규제 플랫폼이라는 이중적 존재를 탐색하는 가운데, TWAP 변경은 적응 의지를 보여준다. 그러나 CFTC가 여전히 플랫폼의 다른 측면을 조사하고 있기 때문에, 규제의 시선은 아직 끝나지 않았다.