답변게시됨3시간 전Last edited 3시간 전22 소스

폴리마켓 계정 턴 악성 스크립트, 스마트 계약 아닌 로그인 세션 악용

폴리마켓의 10월 29일 보안 사고는 스마트 계약을 뚫은 공격이 아니라, 변조된 외부 모니터링 스크립트가 로그인 상태의 거래 세션을 악용한 사례입니다. 유출액은 약 250만 270만 달러로 추정됩니다. 국제 플랫폼 거래는 약 한 시간 중단됐습니다.

게시자GPT-6 Luna로 편집GPT Image 2로 이미지 생성

Studio Global AI로 검색 및 팩트체크 인기 페이지 더 보기

연구 답변

주요 시사점

폴리마켓의 10월 29일 보안 사고는 스마트 계약을 뚫은 공격이 아니라, 변조된 외부 모니터링 스크립트가 로그인 상태의 거래 세션을 악용한 사례입니다.
유출액은 약 250만 270만 달러로 추정됩니다. 국제 플랫폼 거래는 약 한 시간 중단됐습니다.
폴리마켓은 피해 지갑 726개 중 689개에 환급을 마쳤다고 밝혔으며, 나머지 37개는 확인 절차를 진행 중이라고 했습니다.

Illustration representing a compromised third-party script targeting logged-in Polymarket trading sessions — What happened in the October 29 hack of Polymarket’s international platform, including the suspected compromise of UK monitoring provider DeIllustrative AI-generated image; not a depiction of the actual incident.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What happened in the October 29 hack of Polymarket’s international platform, including the suspected compromise of UK monitoring provider De. Article summary: The October 29, 2026 incident appears to have been a browser-side supply-chain attack on Polymarket’s international website: malicious third-party monitoring code abused logged-in trading sessions, rather than exploiting. Topic tags: general, news, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
openai.com

폴리마켓에서 2026년 10월 29일 발생한 보안 사고는 웹사이트에 삽입된 외부 모니터링 스크립트가 변조된 데서 시작됐습니다. 악성 코드는 사이트에 로그인한 이용자의 거래 세션을 노려 자산을 매도하거나 옮기려 했습니다. 폴리마켓의 스마트 계약을 직접 공격한 것은 아니었습니다. 피해액은 약 250만~270만 달러로 추산되며, 국제 플랫폼 거래는 약 한 시간 멈췄습니다. 2 6 15

로그인 세션을 노린 웹사이트 공급망 공격

폴리마켓은 외부 서비스 제공업체가 침해됐다고 밝혔습니다. 회사의 초기 설명은 업체 이름을 공개하지 않았지만, 이후 보도와 연구자 분석은 해당 스크립트를 영국의 웹사이트 성능·모니터링 업체 DebugBear와 연결했습니다. 2 29

공격 경로는 플랫폼의 스마트 계약이 아니라 웹사이트였습니다. 분석된 자바스크립트는 로그인한 이용자의 거래 클라이언트와 포트폴리오를 찾아낸 뒤, 활성 세션을 이용해 보유 자산을 매도하거나 이전하려 한 것으로 파악됐습니다. 즉 공격자는 계약 자체를 깨기보다, 이용자가 브라우저에서 이미 로그인해 둔 상태를 악용한 셈입니다. 3 15 22

폴리마켓은 국제 거래소를 취소 전용 모드로 전환하고 릴레이어 작업을 중단한 뒤 사고를 조사했습니다. 회사 상태 페이지에 따르면 장애는 10월 29일 오후 6시 5분부터 7시 5분까지 UTC 기준 한 시간 이어졌습니다. 이는 미국 동부시간(ET)으로 오후 2시 5분부터 3시 5분까지에 해당합니다. 이후 회사는 문제를 해결했다고 알렸고, 사고를 해결된 상태로 표시했습니다. 41

이번 영향은 국제 사이트인 Polymarket.com에 집중됐습니다. 별도 미국 플랫폼은 영향을 받지 않았다는 보도도 있었지만, 회사 상태 페이지의 공개 내용만으로는 이 차이를 독립적으로 확인하기 어렵습니다. 24 29

유출액은 추정치…온체인 기록은 일부 단서

보도된 피해액은 대체로 250만~270만 달러 수준입니다. 다만 자료마다 집계 범위가 다릅니다. BleepingComputer는 의심되는 공격자 지갑으로 약 250만 달러 상당의 자산이 이동한 정황을 추적했고, 다른 보도는 전체 피해액을 약 270만 달러로 추산했습니다. 4 6

블록체인 추적 보도에서는 의심 지갑과 연결된 약 2,860만 POL이 확인됐으며, BleepingComputer는 당시 가치를 약 257만 달러로 평가했습니다. 이는 온체인에서 확인되는 자산 흐름에 관한 자료이지, 이용자별 피해액을 모두 합산한 최종 결산과 같은 의미는 아닙니다. 6

726개 지갑 중 689개 환급 완료

폴리마켓은 10월 30일 금요일 오전 기준 피해 지갑 726개 가운데 689개에 전액 환급을 완료했고, 나머지 37개는 개별 확인을 거쳐 지급하겠다고 밝혔습니다. 22

보도에 따르면 회사가 제시한 총 보상액 390만 달러에는 거래 중단으로 손실을 입었거나 사고 중 포지션에 영향을 받은 약 5,500개 지갑을 위한 119만 달러도 포함됐습니다. 23

일부 후속 보도는 피해액이 1만 달러를 넘는 이용자에게 보상금 지급 전 합의서 서명을 요구했다고 전했습니다. 그러나 현재 확인 가능한 자료만으로는 합의서의 정확한 조건을 알기 어렵고, 신원 확인이나 비방 금지 조항이 포함됐다는 주장도 확인되지 않았습니다. 따라서 이런 세부 내용은 확정된 사실로 보기 어렵습니다. 24 46

외부 스크립트도 로그인 기능에 닿으면 위험

모니터링 스크립트는 웹사이트 운영에 유용할 수 있지만, 거래 기능이 로그인된 페이지에서 실행된다면 보안상 위험 요소가 될 수 있습니다. 이번 사고에서 악성 코드는 해당 사이트를 열어 둔 이용자의 브라우저 세션을 이용한 것으로 보고됐습니다. 3 22

대응책의 하나로 거론되는 것이 서브리소스 무결성(Subresource Integrity·SRI)입니다. 브라우저가 외부 스크립트 파일을 사전에 신뢰한 해시값과 대조해, 내용이 달라졌으면 실행을 거부하도록 하는 방식입니다. 다만 변조된 스크립트가 불러와지는 경로에 이 검증이 올바르게 적용돼 있어야 효과가 있으며, 모든 외부 서비스나 웹사이트 침해를 막아 주는 만능 수단은 아닙니다. 44

폴리마켓은 이후 상태 페이지에 사고 경위와 대응을 설명하는 업데이트를 게시했습니다. 현재 공개된 자료는 공격의 큰 흐름과 대략적인 피해 규모, 환급 진행 상황을 보여 주지만, 보상 합의의 구체적인 조건이나 영향을 받은 서비스의 전체 범위 등은 여전히 분명하지 않습니다. 29

Studio Global AI

연구를 계속하세요

이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.

Studio Global AI로 검색 및 팩트체크

사람들은 또한 묻습니다.