대상: 폴리마켓을 이용하는 사람, 그리고 외부 서비스의 스크립트를 로드하는 웹사이트를 운영하는 사람. 이 글은 폴리마켓의 공식 상태 페이지와 언론 보도를 근거로 작성되었으며, 이런 공격을 수행하는 방법은 설명하지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 31일 기준아직 알려지지 않음
- 공식 손실 금액
- 영향을 받은 이용자 수
- 보상 방식
- 제3자가 어떻게 침해되었는지
폴리마켓의 상태 페이지는 10월 29일 이 사건을 해결됨으로 표시했습니다. 10월 31일 기준 우리가 찾을 수 있는 후속 보고서는 공개되지 않았습니다. 해당 제공업체는 자사 고객에게 스크립트를 제거하라고 안내한 것으로 보도되었습니다.
이용자가 오늘 할 일
공식 사이트에서 계정을 확인하세요
주소를 직접 입력해(메시지 속 링크가 아니라) 폴리마켓을 열고, 10월 29일의 포지션, 잔액, 최근 활동을 검토하세요. 내가 한 일과 맞지 않는 것이 있다면 공식 사이트에 안내된 지원 채널로 폴리마켓에 문의하세요.
보상 메시지에 응하지 마세요
폴리마켓의 상태 페이지는 영향을 받은 이용자에게 보상하겠다고 하지만 청구 절차는 제시하지 않았습니다. 사기범은 이런 때를 흔히 노립니다. 이메일, 다이렉트 메시지, 답글의 링크를 클릭하지 말고, 새 사이트에 지갑을 연결하지 말고, 자금을 "청구"하기 위해 무엇에든 서명하지 마세요. 공식 사이트나 상태 페이지의 발표를 기다리세요.
복구 문구나 개인 키는 절대 공유하지 마세요
정당한 지원팀은 그것이 필요하지 않습니다. 메시지에 폴리마켓이 언급되든 아니든 마찬가지입니다(피싱이란?).
내 노출을 점검하는 계기로 삼으세요
이 사이트는 금융 조언을 하지 않습니다. 일반적으로, 거래 플랫폼에 둘 필요가 없는 자금은 다른 곳에 두는 편이 더 안전하며, 이용자에게 보상하는 플랫폼이라고 해서 다음 로그인이 사기의 표적이 될 위험이 없어지지는 않습니다. 서비스 간 비밀번호 재사용은 별개의 위험입니다(비밀번호 유출 여부 확인 방법).
무슨 일이 있었나 (폴리마켓과 언론에 따르면)
아래 공식 시각은 폴리마켓의 상태 페이지에서 가져온 것으로, UTC(페이지에는 UTC로 표시)를 동부 시간으로 환산했습니다. 언론으로 표시한 시각은 폴리마켓이 아니라 보안 연구 업체의 분석을 다룬 언론 보도에서 가져왔습니다.
2026년 10월 29일, 동부 시간 오후 1:50–1:56 (언론)
BleepingComputer가 자체적으로 블록체인 활동을 검토한 결과, 동부 시간 오후 1시 50분부터 1시 56분 사이에 예측 시장 토큰 계약과 관련된 의심스러운 공격자 지갑의 거래가 확인됩니다.동부 시간 오후 1:59 (언론)
언론은 보안 연구 업체를 인용해, 이 시각의 타임스탬프가 찍힌 폴리마켓 프로덕션 빌드가 제3자 모니터링 연동을 제거했다고 보도합니다.동부 시간 오후 2:05 (폴리마켓)
상태 페이지: 조사하는 동안 거래소가 취소 전용 모드, 릴레이어 작업은 일시 중지.동부 시간 오후 2:37 (폴리마켓)
상태 페이지: 문제가 확인되어 수정됨, 제3자 제공업체가 침해됨, 법 집행 기관에 넘김, 영향을 받은 사람은 모두 보전받을 것, 만일을 대비해 거래 일시 중단.동부 시간 오후 3시경 (폴리마켓)
거래는 재개될 것으로 예상되었고, 상태 페이지는 동부 시간 오후 3시 5분에 이 사건을 해결됨으로 표시했습니다. 언론은 중단 후 약 한 시간 뒤에 거래가 재개되었다고 보도합니다.
- 서비스
- Polymarket.com, 국제 플랫폼. 언론은 미국 플랫폼은 영향을 받지 않았다고 보도하며, 폴리마켓의 페이지는 국제 플랫폼만 지명함
- 폴리마켓의 설명
- 제3자 제공업체가 침해됨, 문제가 확인되어 수정됨, 법 집행 기관에 넘김, 영향을 받은 이용자에게 보상할 예정
- 언론 보도(폴리마켓이 아님)
- 제공업체는 스크립트가 폴리마켓 페이지에 로드되던 웹사이트 성능 모니터링 서비스. 보도된 동작: 로그인한 이용자의 계정에서 포지션을 매도하거나 포지션 토큰을 공격자가 고른 주소로 옮김. 연구 업체(SecurityWeek에 따르면)는 자격 증명, 비밀번호, 복구 문구, 개인 키를 공격자에게 보내는 코드는 찾지 못했다고 밝힘. 스크립트는 주로 로그인된 세션의 권한을 재사용한 것으로 알려짐
- 금액
- 폴리마켓은 공개하지 않음. 언론과 분석 업체는 의심되는 지갑으로 대략 220만에서 270만 달러를 추적. 낮은 수치는 한 지갑의 보유액에 대한 연구 업체의 수치이며, SecurityWeek은 검증된 집계가 아니라고 밝힘. SecurityWeek이 보도한 한 분석 업체의 견해는 주소 수가 피해자 수와 같지 않다는 것
- 제공업체의 대응
- 언론은 제공업체가 보안 사고를 확인하고 고객에게 스크립트를 제거하라고 안내했다고 보도함
알려진 것과 알려지지 않은 것
2026년 10월 31일 기준 상태입니다.
| 항목 | 알려진 내용 | 상태 |
|---|---|---|
| 제3자 제공업체 침해 | 폴리마켓 상태 페이지, 10월 29일 | 확인됨(폴리마켓) |
| 거래 중단과 재개 | 동부 시간 오후 2:37 일시 중단, 오후 3:05 해결 | 확인됨(폴리마켓) |
| 법 집행 기관에 넘김 | 상태 페이지에 명시 | 확인됨(폴리마켓) |
| 이용자 보상 예정 | "영향을 받은 이용자에게 보상할 예정" | 확인됨(폴리마켓), 세부 사항은 공개되지 않음 |
| 제공업체 유형 | 웹사이트 성능 모니터링 서비스 | 언론 보도(두 매체) |
| 스크립트의 동작 | 로그인한 이용자의 보유 자산을 매도하거나 이동 | 언론 보도, 연구 업체의 분석 |
| 금액 | 약 220만에서 270만 달러 추적 | 언론 추정, 공식 수치 없음 |
| 영향을 받은 이용자 수 | 명시되지 않음 | 공개되지 않음 |
| 제공업체가 어떻게 침해되었는지 | 명시되지 않음 | 조사 중(언론에 따르면) |
| 비밀번호나 복구 문구 탈취 | 연구 업체는 이를 외부로 보내는 코드를 찾지 못함 | 제3자의 조사 결과이며 폴리마켓이 확인한 것은 아님 |
로그인 페이지에서 제3자 스크립트가 위험한 이유
웹사이트가 외부 서비스에서 로드하는 스크립트는 사이트 자체 코드와 같은 권한으로 실행됩니다. 일반적으로 이용자가 로그인한 페이지에서는 그런 스크립트가 이용자가 보는 것을 보고 이용자가 이미 가진 세션으로 행동할 수 있습니다. 그래서 외부 제공업체의 침해가 사이트 자체 서버가 뚫리지 않고도 사이트의 이용자에게 미칠 수 있습니다. 이것은 일반적인 이유이며 이번 사건에 대한 추가 세부 사항이 아닙니다.
공개 기록에서 이번 사례의 두드러지는 점이 두 가지 있습니다. 침해된 제공업체의 스크립트는 모니터링 도구였는데, 많은 사이트가 성능 데이터를 위해 추가하며 모든 페이지에서 실행됩니다. 그리고 언론에 따르면, 연동을 제거한 폴리마켓 빌드의 타임스탬프는 첫 의심스러운 거래로부터 약 10분 뒤였는데, 이는 사이트가 스크립트를 끌 수 있게 되면 노출이 얼마나 빨리 끝날 수 있는지를 보여 줍니다.
사이트 운영자께: 공개된 내용에서 얻는 세 가지 점검
폴리마켓은 원인을 공개하지 않았으므로 이 섹션은 폴리마켓의 대책을 평가하지 않습니다. 위의 사실만 사용합니다.
이용자가 로그인한 페이지의 모든 외부 스크립트를 목록화하세요
분석, 모니터링, 채팅 위젯, 태그 관리자를 포함하세요. 각각에 대해 누가 소유하는지, 왜 있는지, 누가 끌 수 있는지를 적어 두세요. 필요 없는 것은 제거하세요. 특히 돈을 움직이거나 계정 설정을 바꾸는 페이지에서 그렇습니다. 여전히 중요한 보안 헤더를 참조하세요.
외부 스크립트가 할 수 있는 일을 제한하세요
콘텐츠 보안 정책은 스크립트를 어디서 로드할 수 있고 어디로 데이터를 보낼 수 있는지 제한할 수 있습니다. 서브리소스 무결성 검사는 스크립트가 고정된 파일로 제공될 때 도움이 되지만, 제공업체가 정당하게 파일을 바꾸는 경우에는 도움이 되지 않으므로, 위험이 가장 큰 페이지에는 검토한 뒤 자신의 도메인에서 스크립트를 제공하거나 아예 로드하지 않는 것을 고려하세요.
세션만으로 고액 작업을 승인하게 하지 마세요
매도, 출금, 주소 변경에는 새로운 확인(서명 프롬프트, 두 번째 인증 요소, 또는 알림이 있는 지연)을 요구하세요. 그러면 기존 세션만 사용할 수 있는 스크립트가 이를 조용히 완료할 수 없습니다.
이 사이트의 견해: 첫 몇 분이 가장 중요합니다
언론에 따르면 연동을 제거한 빌드는 첫 의심스러운 거래로부터 약 10분 뒤에 만들어졌습니다. 어떤 외부 스크립트든 빠르게 끌 수 있는 문서화된 방법을 갖추고, 비정상적인 거래 패턴에 대한 경보를 두는 것이 긴 사고를 짧게 만듭니다.
제3자 제공업체의 스크립트가 침해됨
↓→
이용자가 로그인한 곳에 어떤 외부 스크립트가 로드되는가?
스크립트가 로그인된 세션을 통해 동작(언론)
↓→
고액 작업에 새로운 확인이 필요한가?
약 10분 뒤 이를 제거하는 빌드(언론)
↓→
어떤 외부 스크립트든 빠르게 끌 수 있는가?
출처 (공개 기록)
- 폴리마켓 상태 페이지, "Polymarket exchange disruption"(2026년 10월 29일) — status.polymarket.com
- BleepingComputer, "Polymarket halts trading after crypto-draining script breach, $2.5M traced"(2026년 10월) — bleepingcomputer.com
- SecurityWeek, "$2 million drained from Polymarket traders in new supply chain attack"(2026년 10월 30일) — securityweek.com
언론 보도는 제공업체 유형, 스크립트의 보도된 동작, 금액에 사용했으며 위에 그렇게 표시했습니다. 언론은 회사의 성명도 인용하지만, 공식 표현은 상태 페이지에 의존합니다.
업데이트 기록
2026-10-31: 폴리마켓의 상태 페이지와 두 건의 언론 보도를 바탕으로 한 첫 버전. 폴리마켓이 손실 금액, 보상 절차, 원인을 공개하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 유형의 사건: APORITO 온라인 스토어(RIZAP) 카드 정보 유출 가능성
- 암호화폐 탈취: 비트겟 암호화폐 탈취
- 2026년 기타 사건: 2026년 데이터 유출 및 사이버 공격