폴리마켓이 미국 시장에서 사업을 확장하던 중 최소 1,000만달러 규모의 카드 부정사용 공격을 받았던 사실이 드러났다. 공격자들은 도난당한 직불카드로 플랫폼에 자금을 넣고 베팅한 뒤, 자금과 수익을 자신들이 관리하는 다른 카드나 계좌로 옮기려 했다. 이 과정에서 성장 속도와 규제 준수, 위험 통제 수준을 둘러싼 회사 내부의 이견도 수면 위로 떠올랐다.
사건은 폴리마켓 미국 플랫폼이 대기자 명단에 있던 이용자들에게 서비스를 개방한 지 수개월 뒤 발생했다. 결제 처리업체 Checkout.com은 한때 폴리마켓 미국 계정으로 들어온 예치금의 80% 이상을 사기 거래로 분류해 거부했다. 당시 업계에서 일반적인 결제 거부 또는 사기 식별 비율은 약 1% 수준이었다. 비자는 이후 Checkout.com에 폴리마켓 관련 사기 결제 통제를 강화하라고 요구했고, Checkout.com도 폴리마켓에 위험관리 체계 보완을 요청했다.
최소 1,000만달러로 추산된 도난 시도 중 실제로 얼마가 빠져나갔는지는 아직 확인되지 않았다. 사정을 아는 관계자에 따르면 대부분의 부정 예치 시도는 성공하지 못했으며, 공격에는 약 7명이 관여했다. 이 가운데 한 명은 약 4,000건의 개별 예치를 시도한 것으로 전해졌다. 폴리마켓은 실제 손실 규모를 공개하지 않았다.
성장 우선 기조와 컴플라이언스팀의 우려
폴리마켓의 컴플라이언스팀은 CEO 셰인 코플란의 대응 방향에 당혹감을 느낀 것으로 전해졌다. 관계자들은 코플란이 당시 성장에 우선순위를 두고 잠재적인 규제 벌금 문제는 나중에 처리하자는 취지로 요구했다고 설명했다. 회사 대변인은 폴리마켓이 공정하고 투명한 시장을 유지하기 위해 노력하고 있으며, 규제기관 및 수사기관과 협력하고 있다고 밝혔다.
대변인은 회사의 시장 무결성 체계에 의심스러운 활동을 식별하고 검토하며 처리하는 절차가 포함돼 있다고 설명했다. 그러나 카드 부정사용 공격은 정상 이용자의 출금 요청까지 밀리게 하면서 컴플라이언스팀의 부담을 키웠다.
이후 폴리마켓 경영진은 자금세탁을 억제하기 위해 운영하던 출금 요건을 폐지했다. 기존 규정은 이용자가 특정 결제수단으로 입금한 자금을 같은 결제수단으로만 출금하도록 하는 방식이었다. 예측시장 플랫폼에 법적으로 이 규정이 명시돼 있지는 않지만, 은행과 금융기관은 유사한 절차를 널리 적용한다. 규정이 유지됐다면 도난 직불카드로 입금된 자금이 다른 정상 카드로 옮겨지는 경로를 줄일 수 있었다.
일부 직원들은 제한을 없애면 자금세탁이나 추가 공격 위험이 커질 수 있다고 경고했다. 회사 경영진은 기존의 다른 규정만으로도 관련 활동을 낮출 수 있다고 판단했다. 5월에는 이용자가 등록할 수 있는 직불카드 수를 제한하는 등의 조치가 적용됐고, 폴리마켓의 사기 비율은 업계에서 통상적으로 관찰되는 수준까지 내려간 것으로 알려졌다.
미국 사업 확장 중 이어진 경영진 교체
폴리마켓 미국 법인의 최고 컴플라이언스 책임자 앤드루 클리퍼드는 4월 회사를 떠났다. 그는 퇴사 전 경영진에 회사가 직면한 사기 문제를 상세히 설명한 보고서를 제출한 것으로 전해졌다. 이후 미국 법인 CEO 저스틴 허츠버그가 해임됐고, 미국 규제 업무 책임자와 자금세탁방지 책임자도 잇따라 회사를 떠났다.
법무법인 설리번앤드크롬웰은 이후 내부 조사를 마쳤다. 조사 결과를 아는 관계자들은 보고서가 폴리마켓이 관련 규제 요건을 충족한다고 판단했다고 설명했다. 다만 회사는 보고서 전문을 공개하지 않았고, 조사 대상에 포함된 모든 사안도 밝히지 않았다.
이번 경영진 재편은 폴리마켓이 잠재적인 기업공개와 신규 자금 조달을 준비하던 시점에 이뤄졌다. 회사는 이후 첫 최고재무책임자(CFO)로 워런 젠슨을 영입했다. 젠슨은 1999년 9월부터 약 2년 6개월 동안 아마존 CFO를 지냈다. 폴리마켓은 5월 이후 위험관리 인력을 늘리고 컴플라이언스 절차와 제품 테스트도 보완했다.
계정 등록 취약점으로 약 500명 피해
7월 말에는 또 다른 공격으로 폴리마켓 이용자 약 500명이 영향을 받았다. 공격자들은 계정 등록 과정의 취약점을 이용한 것으로 보인다. 기존 고객의 개인정보와 도난된 사회보장번호 등을 사용해 신규 가입을 시도하면, 원래 사용자명과 비밀번호를 몰라도 해당 고객의 계정에 직접 접근할 수 있었던 것으로 파악됐다. 연결된 은행 계좌와 직불카드도 노출될 수 있었다.
사정을 아는 관계자는 도난 규모가 비교적 작았다고 설명했지만 구체적인 금액은 제시하지 않았다. 폴리마켓 대변인은 회사가 이용자 손실을 부담하겠다고 밝혔다. 그러나 조사에 응한 이용자와 디스코드에 게시된 관련 내용에 따르면 일부 피해액은 수천달러에 달했다. 폴리마켓 고객지원팀에 보낸 문의 중 일부는 수주 동안 답변을 받지 못한 것으로 나타났다.
예측시장 플랫폼에서 이번 두 사건은 직접적인 금전 손실에만 그치지 않는다. 결제 확인, 계정 탈취, 출금 제한, 고객 대응 속도 모두 플랫폼 운영과 이용자 보호에 직결되는 요소다. 이용자 수를 확대하는 과정에서 플랫폼은 신규 거래를 정확히 식별하는 동시에, 정상 이용자의 출금 요청이 위험관리 절차에 장기간 묶이지 않도록 해야 하는 과제를 안게 됐다.
CFTC 조사와 10억달러 자금 조달 추진
미국 상품선물거래위원회(CFTC)는 폴리마켓을 조사하고 있다. CFTC 대변인은 조사 여부를 확인하거나 부인할 수 없다는 입장을 밝힌 바 있다. 폴리마켓 직원들은 이번 사기 공격과 기타 사안에 관한 기록을 보존하라는 지시를 받았다.
회사는 앞서 마케팅 활동과 관련해서도 관심을 받았다. 폴리마켓이 콘텐츠 제작자들에게 비용을 지급해 모방 사이트에서 베팅과 당첨을 시연하게 했다는 내용이 제기된 뒤, 서로 다른 정당에 소속된 미국 상원의원 2명이 CFTC에 조사를 요구했다. 폴리마켓은 이후 마케팅팀을 재편했다. 이 사안과 최근 드러난 결제 및 계정 보안 문제는 규제 준수, 시장 무결성, 이용자 보호와 관련해 회사가 대응해야 할 쟁점을 늘렸다.
이런 상황에서 폴리마켓은 약 10억달러의 자금 조달을 추진하고 있으며, 목표 기업가치는 약 210억달러로 제시됐다. 도널드 트럼프 주니어가 이끄는 1789 캐피털은 약 3억달러를 투자할 계획인 것으로 전해졌다. 이 회사는 앞서 약 2억달러를 투자한 것으로 알려졌다. 트럼프 주니어는 폴리마켓 자문위원회 위원인 동시에 경쟁사 칼시의 전략 고문이기도 하다. 6월에는 코플란이 1789 캐피털 공동창업자 오미드 말릭과 2027년 기업공개 가능성에 대비한 준비 상황을 논의했다.
폴리마켓 대변인은 새로 구성된 경영진과 지속적으로 개선 중인 인프라에 만족한다며, 빠르게 사업을 확장하는 동시에 운영 체계를 계속 보완하겠다고 밝혔다. 이용자와 잠재적 투자자들이 확인해야 할 구체적인 사안은 실제 손실 규모, 계정 취약점의 보완 여부, CFTC의 추가 조치 가능성, 그리고 출금 및 사기 방지 규정이 안정적으로 적용되는지 여부다.