제3자 인증 취약점으로 Polymarket 계정들 해킹

2025년 12월 24일 — 탈중앙화된 예측 시장 플랫폼 Polymarket은 제3자 인증 공급자의 보안 취약점으로 인해 사용자 계정에 대한 무단 접근 및 자금 이체가 발생했다는 사실을 확인했습니다. 이번 침해는 주로 이더리움 계정을 위한 한 번 클릭 이메일 기반 지갑 생성을 제공하는 서비스인 매직 랩스(Magic Labs)를 통해 등록한 사용자들에게 영향을 미쳤습니다.

이메일 계정에 대해 2단계 인증을 활성화했음에도 불구하고 다수의 사용자가 갑작스러운 잔액 감소를 보고했습니다. 온체인 거래 분석은 공격자들이 인증 취약점을 악용해 로그인 제어를 우회하고, 이더(Ether)와 ERC-20 토큰을 공격자 제어 주소로 이동시키는 스마트 계약 호출을 실행했다는 것을 드러냈습니다.

Polymarket의 엔지니어링 팀은 매직 랩스(Magic Labs) 통합 계층에서 근본 원인을 식별하고 12월 23일 패치를 배포했습니다. 공식 Discord 발표에서 회사는 취약점이 통제되었으며 추가 사고가 탐지되지 않았다고 밝혔습니다. Polymarket은 영향을 받은 계정의 총 수나 도난 자산의 규모를 공개하지 않았지만, 핵심 거래 프로토콜과 스마트 계약은 여전히 안전하다고 강조했습니다.

이 플랫폼은 자체 이더리움 레이어 2 네트워크 POLY로 이전하고 유사한 의존성을 제거하기 위해 제3자 로그인 서비스를 중단할 계획입니다. 영향을 받는 사용자는 복구 옵션을 설명하는 직접적인 안내가 전달되겠지만, 손실에 대한 보상은 발표하지 않았습니다.

산업 전문가들은 이번 사건을 핵심 인증 메커니즘의 외주화 위험에 대한 경고 사례로 강조합니다. Web3 프로젝트가 사용자 온보딩에 외부 SDK에 점점 더 의존하게 됨에 따라 엄격한 보안 감사와 대비책이 시스템적 취약점을 방지하는 데 필수적입니다.

– CryptoReporter.