보안업체 카스퍼스키의 위협 인텔리전스 조직인 글로벌 리서치·분석팀(GReAT)은 지난 10월 말 암호화폐 업계를 뒤흔든 두 건의 대형 사고가 서로 정반대의 취약점에서 비롯됐다고 결론지었습니다. 하나는 플랫폼에 덧붙여진 외부 웹 구성요소였고, 다른 하나는 내부 직원의 노트북이었습니다. 암호화폐 기반 예측 시장 플랫폼인 폴리마켓이 2026년 10월 29일 당한 침해는 탈취된 서드파티 모니터링 스크립트를 통해 이뤄졌고, 거래소 바이낸스는 손상된 엔지니어의 기기를 거쳐 내부 서비스 컨테이너에 접근한 공격자들에 의해 약 63억 달러를 잃었는데, 이는 기록상 최대 규모의 암호화폐 탈취입니다.
예측 시장 트레이더에게는 바이낸스가 헤드라인의 숫자를 차지했음에도 폴리마켓 사례가 더 날카로운 경고입니다. 폴리마켓은 공격자들이 회사가 직접 작성하지 않은 신뢰된 코드를 이용해 사용자의 미결제 포지션을 매도하고 그 대금을 외부로 빼돌린 사건에 대해 약 390만 달러의 환급을 약속했습니다. GReAT 팀의 선임 연구원인 게오르기 쿠체린은 두 사건이 암호화폐 자금이 탈취되는 두 가지 전형적인 방식이라며, 아직 어느 쪽도 특정 조직의 소행으로 지목되지는 않았다고 말했습니다.
폴리마켓 자금 유출은 실제로 어떻게 작동했나
이번 공격은 폴리마켓 자체 시스템을 뚫은 것이 아닙니다. 공격은 폴리마켓 프런트엔드에서 실행되던 서드파티 웹사이트 모니터링 업체 디버그베어(DebugBear)의 실사용자 모니터링 스크립트(실제 방문자에게 페이지가 어떻게 로드되는지 측정하기 위해 사이트에 삽입하는 작은 코드 조각)를 타고 들어왔습니다. 이 스크립트가 손상되자, 공격자들은 트레이더의 활성 브라우저 세션을 악용해 미결제 포지션을 매도하고 자금을 외부로 밀어냈는데, 이미 로그인한 사용자가 해당 페이지에 부여해 둔 권한으로 행동한 셈입니다.
디버그베어는 이번 침해의 출발점을 자사 도메인 등록 업체로 보고 있습니다. 웹 주소를 올바른 서버로 연결해 주는 설정인 DNS 레코드가 탈취됐고, 이를 통해 공격자들은 특정 고객 한 곳에만 악성 버전의 스크립트를 제공할 수 있었습니다. 726개 지갑에서 약 270만 달러가 직접 탈취됐습니다.
폴리마켓이 보상하는 금액
폴리마켓의 약 390만 달러 보상 약속은 두 부분으로 나뉩니다:
- 270만 달러: 자금이 유출된 726개 지갑에서 곧바로 탈취된 금액을 보전.
- 119만 달러: 거래 중단과 그에 뒤이은 강제 매도로 손실을 본 약 5,500개 지갑에 대한 보상.
2026년 10월 30일까지 직접 유출된 726개 지갑 중 689개가 보상을 완료했고, 37개는 아직 처리 중입니다. 이번 사건과 관련해, 서드파티 스크립트가 침투 경로가 된 것은 2026년 6월에 드러난 앞선 침해에 이어 약 4개월 만에 두 번째라는 점이 지적됩니다.
바이낸스 쪽, 그리고 더 큰 숫자
세계 최대 암호화폐 거래소인 바이낸스는 폴리마켓 유출 하루 뒤인 2026년 10월 30일 자사의 침해 사실을 공개했습니다. 초기 조사는 손상된 데브옵스(DevOps) 엔지니어의 노트북이 내부 프로세스를 실행하는 데 쓰이는 격리된 소프트웨어 환경인 서비스 컨테이너로 가는 길을 열어 줬고, 공격자들이 그곳에서 무단 출금을 실행했다고 지목했습니다. 거래소는 손실 규모를 약 63억 달러로 추산했고, 입출금을 중단했으며, 어떤 지갑의 개인 키도 유출된 정황은 발견되지 않았다고 밝히고 사용자 손실을 보전하겠다고 약속했습니다. 약 30억 달러가 온체인에서 동결됐고, 출금은 2026년 11월 1일경 재개됐습니다.
이 설명은 여전히 변하고 있습니다. 바이낸스 공동 최고경영자(CEO)인 리처드 텅은 이후 이번 공격이 엔지니어 한 명의 권한을 악용한 것보다 더 복잡했으며, 조사진이 추가 침입 지점을 발견했다고 말했습니다.
카스퍼스키의 해석: 하나의 위험, 두 개의 얼굴
쿠체린은 "이 두 사례는 근본적으로 다른 침투 방식을 보여 준다. 하나는 진입점이 직원의 업무 기기였고, 다른 하나는 서드파티 웹 구성요소였다"고 말했습니다. 그가 짚는 더 큰 요점은 코드가 아니라 사람에 관한 것입니다. "암호화폐 거래소 직원, 특히 기술 인력은 암호화폐 탈취를 노린 공격에서 여전히 취약한 고리 중 하나다." 카스퍼스키는 자사가 처리한 사례도 언급했는데, 암호화폐 분야의 한 개발자가 악성 코딩 도구 확장 프로그램을 설치했다가 자신의 지갑에서 약 50만 달러가 빠져나간 경우입니다.
카스퍼스키의 관점에서 예측 시장과 최대 거래소를 잇는 공통의 실마리는 의존성입니다. 둘 다 업체의 스크립트든 사무실을 벗어나는 노트북이든, 자신이 직접 통제하지 않는 것을 통해 뚫릴 수 있습니다.
아직 누구도 매듭짓지 못한 배후 규명 문제
바이낸스 탈취 사건에 관한 초기 보도는 북한과 연계된 해킹 조직 라자루스 그룹을 지목했고, TRM Labs와 Chainalysis 등 외부 분석가들은 이번 공격을 같은 국가 프로그램과 연결된 하위 조직 TraderTraitor와 결부시켰습니다. 카스퍼스키는 더 신중한 입장입니다. 조사가 진행 중인 상황에서 바이낸스와 폴리마켓 두 사건 모두 라자루스의 개입 여부는 아직 확인되지 않았다고 밝혔습니다. 규모를 가늠하기 위해, 카스퍼스키는 공격자들이 10억 달러를 빼내려 했던 2016년 방글라데시 중앙은행 공격, 그리고 2025년 약 15억 달러 규모의 바이비트(Bybit) 해킹과 이번 사건들을 나란히 놓고 비교했습니다.
북한 연계설은 아직 결론이 아닌 유력한 가설에 머물러 있습니다. 포렌식보다 북한 정권 자체의 향방을 주시하는 독자들을 위해, 예측 시장은 평양을 둘러싼 더 장기적인 질문들에 가격을 매기고 있습니다.
폴리마켓 트레이더에게 달라지는 것
불편한 교훈은 이것입니다. 본인이 통제하는 지갑에 들어 있던 돈이 여전히 손에 닿을 수 있었다는 사실입니다. 시장의 계약이 뚫려서가 아니라, 브라우저에 로드된 스크립트가 로그인된 세션의 권한으로 행동할 수 있었기 때문입니다. 환불은 당장의 구멍을 메웠습니다. 그러나 위험 노출은 그대로입니다. 예측 시장의 프런트엔드는 제3자 코드의 묶음이고, 그 뒤에 선 공급업체가 뚫리면 그중 어느 조각이든 사용자를 겨누는 무기로 돌변할 수 있기 때문입니다.
카스퍼스키의 양분된 진단은 폴리마켓에 달러 총액이 과소평가하는 문제를 남깁니다. 유출은 회사 내 누구도 의심할 이유가 없던 공급업체를 통해 들어왔고, 이는 곧 이 플랫폼이 기꺼이 로드하려는 외부 스크립트 목록이 짧아진 만큼만 안전하다는 뜻입니다. 그 목록이 더 짧아지기 전까지, 다음 탈취 역시 폴리마켓의 코드를 이길 필요조차 없을 것입니다. 그저 올라탈 또 다른 신뢰받는 스크립트 하나만 있으면 됩니다.
