- Polymarket가 이메일 인증과 48시간 잠금 기간을 적용하는 출금 주소 허용 목록 기능을 추가했습니다.
- 이 기능은 10월 29일 해킹당한 DebugBear 스크립트로 인해 737개 계정의 약 270만 달러가 유출된 사건 이후 도입되었습니다.
- 이 기능은 탈취된 세션 내에서도 승인되지 않은 지갑으로의 payouts를 차단하여 트레이더를 보호합니다.
Polymarket는 트레이더가 사전에 승인된 지갑으로만 출금을 보낼 수 있도록 하는 새로운 설정을 추가했습니다.
이 기능은 약 2주 전 해킹당한 스크립트로 사용자 계정에서 약 270만 달러가 유출된 사건 이후 도입되었습니다.
Polymarket의 새로운 출금 잠금 기능은 무엇을 하나요?
Josh Stevens, Polymarket의 엔지니어링 부사장, 월요일에 발표됨 Polymarket가 이전에 승인된 지갑으로만 출금을 허용하는 새로운 기능을 추가할 것이라고 밝혔다. 이 발표는 @devjoshstevens 계정의 X 게시물을 통해 이루어졌다.
사용자 계정에 새 지갑 주소를 추가하는 것은 두 단계로 간단히 완료된다. 트레이더는 이메일을 통해 요청을 확인한 후 48시간을 기다려야 한다. 만약 트레이더가 해당 요청을 시작하지 않았다면, 바로 그 이메일에서 요청을 취소할 수 있다.
이 조치가 시행되면 공격자는 이메일 인증을 통과하고 필요한 2일을 기다리지 않고서는 새로운 지갑으로 자금을 전송할 수 없게 됩니다. 스티븐스는 공격자가 사용자가 통제하지 않는 어떤 주소로도 자금을 보낼 수 없도록 하는 것이 목표라고 밝혔습니다.
하지만 이 잠금 조치는 불과 두 주 전에 폴리마켓이 겪은 침해 사건의 근본적인 문제를 해결하지는 못합니다. 해당 해킹으로 사용자 계정에서 약 270만 달러가 유출되었습니다. 이는 폴리마켓 사이트 내부에서 실행되는 서드파티 스크립트가 활성 세션에 접근하여 이루어졌습니다.
폴리마켓은 올해 6월에도 유사한 문제를 겪었습니다. 당시 벤더 스크립트 공격으로 최소 11개의 지갑에서 약 300만 달러가 유출되었으며, 이는 크립토파이탄의 이전 보도에 따르면인증 제공업체에서 발생한 2025년 12월 해킹 사건도 사용자 계정에 영향을 미쳤습니다.
각각의 사례는 외부 공급업체와 관련이 있었지만, 이들이 동일한 공격자에 의해 연결되었다는 증거는 없습니다.
폴리마켓 해킹은 어떻게 발생했으며, 앞으로의 전망은 무엇인가?
10월 29, 폴리마켓은 거래를 중단했습니다. 영국 웹사이트 속도 모니터링 기업 디버그베어(DebugBear)의 스크립트를 공격자들이 장악한 후, 국제 플랫폼에서 이를 지갑 자금 유출을 목적으로 작성된 코드로 교체했기 때문입니다.
Hudson Rock의 연구원들은 해당 코드가 방문자가 Polymarket에 로그인되어 있는지 확인한 후, 잔액과 미결제 포지션을 읽은 다음 사이트 자체의 거래 도구를 사용하여 포지션을 매도하고 공격자의 지갑으로 자금을 이송하는 것을 발견했습니다.
Hudson Rock는 또한 Polymarket의 사이트 코드가 스크립트 제거를 기록했음을 발견했습니다. Polymarket은 해당 사건을 법 집행 기관에 보고했다고 밝혔습니다.
Bitquery에 따르면 공격자는 UTC 시간 17:10에서 18:10 사이 약 1시간 동안 737개 계정에서 273만 달러를 빼앗았습니다. 총 985건의 출금이 이루어졌으며, 각 출금에는 유효한 승인(approval)이 포함되어 있었습니다. 따라서 스마트 계약은 이를 실제 사용자 행동으로 간주했습니다.
한 계정은 단 한 번의 출금으로 358,369달러를 잃은 반면, 276개 계정은 각각 100달러 미만 손실을 입었습니다. 또 다른 33명의 사용자에게도 예측 시장 지분이 탈취당했습니다.
Polymarket은 모든 사용자를 전액 보상할 것이라고 밝혔으나, 10,000달러 미만의 손실을 입은 사용자에게 먼저 환불이 이루어질 예정입니다.
Binance와 Polymarket은 또한 Polygon 검증자들에게 요청했습니다 하드 포크를 승인하기 위한 것. 하드 포크는 모든 검증자가 채택해야 하는 네트워크 소프트웨어 변경 사항입니다. 이번 변경은 공격자의 지갑에서 약 7049만 POL 토큰(약 650만 달러 상당)을 이동할 예정입니다. 이 제안은 11월 4일에 게시되었으며, 11월 5일 Polygon 거버넌스 콜에서 발표되었습니다. 투표 일정과 실행 날짜는 아직 미정입니다.
다른 기업들도 보안을 강화하고 있습니다. 화요일, 보안 회사 CertiK는 63억 달러 규모의 바이낸스 해킹 사건 이후 거래소가 냉각 지갑 비율에만 의존하는 대신 핫 월렛에 보관하는 금액에 명확한 달러 한도를 설정해야 한다고 보도했습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
Polymarket의 새로운 출금 허용 목록(allowlist)이란 무엇인가요?
이 기능은 트레이더가 사전에 승인된 지갑으로만 출금을 제한할 수 있게 합니다. 새 주소를 추가하려면 이메일 인증과 48시간의 시간 잠금(time lock)이 필요하며, 사용자가 요청을 시작하지 않은 경우 이메일을 통해 요청을 취소할 수 있다고 Josh Stevens가 X에서 밝혔습니다.
10월 29 Polymarket 유출 사고로 사용자는 얼마나 손해를 입었나요?
Bitquery 자료에 따르면, 약 1시간 동안 737개 계정을 통해 985건의 승인된 출금이 이루어지며 총 약 273만 달러가 탈취되었습니다. 단일 최대 출금액은 358,369달러였습니다.
공격자들은 자금을 어떻게 훔쳤습니까?
위협받은 DebugBear 모니터링 스크립트가 로그인된 Polymarket 세션을 탈취하고, 플랫폼 자체의 거래 도구를 사용하여 포지션을 매도하고 자산을 공격자의 지갑으로 이전했습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
