예측 시장 플랫폼 Polymarket이 '공급망 공격(Supply Chain Attack)'을 받아 국제 플랫폼 거래자들의 계정에서 수백만 달러가 유출되는 피해를 입었습니다. 해당 플랫폼은 10월 29일 비정상적인 출금 시도를 감지한 후 즉시 거래를 일시 중단했으며, 이번 사건으로 피해를 본 모든 사용자에게 보상할 것이라고 밝혔습니다.
공격 메커니즘: 모니터링 도구 악용
보안 기업 Hudson Rock의 연구원들은 이번 공격이 Polymarket의 인프라를 직접 겨냥한 것이 아니라, 웹사이트 성능 모니터링 전문 영국 기업인 DebugBear를 통해 주입된 악성 자바스크립트(JavaScript) 코드를 통해 이루어졌다고 밝혔습니다.
이 악성 코드는 DebugBear의 '실사용자 모니터링(RUM)' 도구를 악용하여 다음과 같은 행위를 수행했습니다:
- 이미 로그인한 사용자의 거래 도구 및 지갑 검색
- 비밀번호, 개인 키, 복구 구문을 직접 탈취할 필요 없이 활성 세션(Authenticated sessions)의 권한을 악용
- 사용자의 금융 포지션을 매도하거나 토큰을 공격자가 제어하는 주소로 직접 전송
재산 피해 추산
사이버 보안 기업들의 분석에 따라 피해 규모에 대한 수치는 다소 차이가 있습니다:
- Hudson Rock은 코드에 미리 프로그래밍된 공격자의 주소에 약 219만 달러가 있는 것으로 추산했습니다.
- 반면, 보안 기업 GoPlus는 피해액이 최대 271만 달러에 이를 수 있다고 지적하며, 이번 공격이 710개의 입금 지갑과 731개의 서로 다른 주소를 거쳐 진행되었다고 밝혔습니다.
DebugBear 측은 보안 사고가 발생했음을 인정하고, 사용자들에게 자사 소프트웨어 스니펫(Snippet)을 즉시 제거할 것을 권고하는 한편, 사고 대응을 위해 전문 보안 업체를 고용했다고 전했습니다. 참고로, Polymarket의 미국 플랫폼은 이번 공격의 영향을 받지 않았습니다.
이 뉴스가 중요한 이유
이번 사건은 소프트웨어 보안의 증가하는 위험성을 잘 보여줍니다. 이제는 메인 플랫폼을 보호하는 것만으로는 충분하지 않으며, '백엔드'에서 작동하는 모든 타사 도구 및 서비스(Third-party dependencies)를 보호해야 합니다. 성능 모니터링 도구(RUM)를 표적으로 삼는 것은 매우 위험한 위협입니다. 이러한 도구는 본질적으로 사용자 인터페이스와 상호작용할 수 있는 권한을 가지고 있어, 전통적인 비밀번호 해킹 없이도 활성 세션 권한을 악용하는 공격을 실행하기에 이상적인 표적이 되기 때문입니다. 이는 타사 위험을 평가하는 방식을 근본적으로 변화시키고 있습니다.