Polymarket 보안 사고로 Polygon 토큰 $520K 유출

Polymarket 보안 사고로 2026년 5월 22일 Polygon 네트워크의 플랫폼 UMA CTF Adapter 계약에서 52만 달러 이상의 담보가 유출되었습니다.

온체인 조사관 ZachXBT는 flagged 커뮤니티 경고를 통해 이 사건을 알렸고, 공격의 진입점으로 침해된 배포자 주소를 지목했습니다. 자금은 UTC 09:00 경 짧은 시간 동안에 걸쳐 유출되었습니다.

보고 시점까지 Polymarket 또는 UMA로부터 공식 발표는 게시되지 않았습니다.

Polymarket 유출은 어떻게 진행되었는가?

해킹은 시장 담보를 보유하는 메인 어댑터를 관리하는 업그레이드 가능한 프록시인 Polymarket UMA CTF Adapter Admin Contract(주소 0x91430C…E5c5)를 표적으로 삼았습니다. 블록체인은 관리자 계약에 기록된 초기 이벤트를 UTC 09:00:30경에 보여줍니다. 이는 프록시 패턴 익스플로잇에 대한 경고를 제기해야 합니다.

초기 이벤트는 빠르게 Polygon의 네이티브 통화인 POL의 전송 이벤트에 이어졌습니다. 09:00:49에 어댑터 관리자는 Polymarket 주소로부터 5,000 POL을 받았습니다. 5초 후, 공격자가 통제하는 계정으로 거의 9,994 POL을 보냈습니다. 이 패턴은 09:01:19에 또 다른 5,000 POL 유입으로 반복되었고, 이어 09:01:26에 동일한 공격자 주소로 거의 5,000 POL이 전송되었습니다.

이 두 단계 전송은 1분 미만의 시간 내에 어댑터에서 10,000 POL 이상을 유출했습니다. ZachXBT가 나열한 유출 주소인 0x871D7c0f와 0xf61e39C7은 공격자가 관리자 계약을 통해 인출한 담보를 어댑터에 보냈습니다. 주요 공격자 주소는 POL 전송을 받고 곧바로 자금을 통합하기 시작했습니다.

침해된 키, 스마트 계약 버그 아님

이러한 방식으로 관리자 계약에 대한 초기화 호출의 체인은 UMA 옵티미스틱 오라클 로직의 문제가 아닌 키 도난 및 초기화 취약성의 위험을 보여줍니다. 계약은 UMA 오라클을 기반으로 했지만, 침해는 접근 제어 수준에서 발생했으며 해커는 관리자 전용 호출을 수행할 수 있는 권한을 얻었습니다.

배포 과정이 공격자에 의해 침해된 키의 도움을 받아 발생했거나, 익스플로잇 가능한 초기화되지 않은 계약 프록시가 존재했을 가능성이 있습니다. 관리자 권한을 얻은 해커는 맞춤형 익스플로잇 없이도 전체 담보 잔액을 인출할 수 있었습니다.

Polymarket 해킹은 2026년 초에 보고된 유사한 사건과 유사합니다. 예를 들어, Step Finance 해킹은 약 2,730만 달러 규모였으며, 2026년 초 실행 키와 멀티시그 메커니즘의 침해로 인해 발생했습니다.

유사한 사례로 Drift Protocol 해킹이 있으며, 이는 약 2억 8,500만 달러 규모로 2026년 4월에 사회공학적 기법을 통해 관리자 키가 유출되어 무가치한 담보를 화이트리스트에 등록할 수 있게 되면서 발생했습니다. 해당 스마트 계약에는 소프트웨어 취약점이 없었습니다.

공격자 지갑 활동 및 추적

주소 0x8F98075d는 POL 담보 전송의 목적지였으며, 탈취된 가치의 Polygon 네트워크 내외 이동에 가장 큰 기회를 제공했기 때문에 매우 의심스러운 것으로 표시되어야 합니다.

마찬가지로 초기화 호출에 관여한 중개 주소 0x65070BE9는 공격자에 의해 통제되고 있을 가능성이 높으며 유사한 모니터링이 필요합니다.

과거 경험을 바탕으로, 다음 단계는 크로스체인 브리지와 믹싱을 포함할 가능성이 있습니다. Drift의 경우, 탈취된 자금은 세탁하기 전에 Circle의 크로스체인 프로토콜을 통해 이더리움으로 부분적으로 브리징되었습니다. 보고 시점까지 용의자 주소에서 대규모 아웃바운드 브리지는 보고되지 않았습니다.