폴리마켓(Polymarket)이 도난당한 체크카드를 이용한 최소 1000만달러 규모의 사기 결제 시도에 노출됐다는 보도가 나왔다.

월스트리트저널(WSJ)에 따르면 공격자들은 도난 체크카드를 폴리마켓 미국 계정에 연결한 뒤 자금을 입금해 베팅하고 확보한 자금을 자신들이 관리하는 정상 계좌나 다른 카드로 인출하려 한 것으로 전해졌다.

이번 사건은 올해 2월 발생했으며 대부분의 공격은 7명의 이용자가 주도한 것으로 파악됐다. 이 가운데 한 이용자는 약 4000회의 입금을 시도한 것으로 알려졌다. 다만 1000만달러는 공격자들이 탈취를 시도한 금액으로, 실제 피해액과는 차이가 있을 수 있다.

폴리마켓의 체크카드 결제를 처리한 결제대행사 체크아웃닷컴(Checkout.com)은 당시 수천 개의 신규 계정에 도난 카드가 연결됐다고 회사 측에 통보했다.

처리한 입금 가운데 사기로 분류돼 거절된 비율은 한때 80%를 넘어선 것으로 전해졌다. 이는 보도에서 제시된 업계 평균 약 1%를 크게 웃도는 수준이다.

공격은 폴리마켓의 컴플라이언스 조직에도 상당한 부담을 준 것으로 알려졌다. 출금 심사가 지연되자 회사 경영진은 입금에 사용한 수단으로만 자금을 인출하도록 한 ‘동일 결제수단 출금 원칙’을 폐지했다.

일부 직원은 이 조치가 자금세탁 위험을 키울 수 있다고 경고했으나 경영진은 다른 통제 절차로 위험을 관리할 수 있다고 판단한 것으로 전해졌다.

셰인 코플란(Shayne Coplan) 폴리마켓 최고경영자(CEO)의 대응을 둘러싼 논란도 제기됐다. WSJ는 전·현직 직원들의 설명을 인용해 코플란 CEO가 내부 우려를 보고받은 뒤 성장에 집중하고 규제기관에 적발되면 벌금을 내겠다는 취지로 대응했다고 밝혔다. 이는 회사가 공식적으로 확인한 발언이 아니라 내부 관계자 증언을 토대로 제기된 주장이다.

사건 이후 폴리마켓 미국 법인의 최고컴플라이언스책임자(CCO) 앤드루 클리포드는 사기 문제를 정리한 보고서를 경영진에게 전달한 뒤 4월 사임한 것으로 알려졌다.

이어 미국 법인 CEO가 해임되고 규제 및 자금세탁방지 담당 임원들도 회사를 떠난 것으로 전해졌다.

폴리마켓은 이후 계정당 연결할 수 있는 체크카드 수를 제한하고 새로운 사기 방지 업체를 도입했다. 보도에 따르면 사기 거래 비율은 5월께 업계 평균 수준으로 낮아졌다. 회사가 의뢰한 내부 조사에서는 관련 규정을 준수했다는 결론이 나온 것으로 알려졌다.

이번 사건은 예측시장 플랫폼이 일반 이용자의 카드 입금과 신속한 출금을 지원하는 과정에서 결제 사기와 자금세탁 위험에 얼마나 노출될 수 있는지를 보여준다.

폴리마켓의 성장세가 이어지는 가운데 이용자 확인, 이상거래 탐지 및 출금 통제 체계가 향후 규제기관과 시장의 주요 점검 대상이 될 전망이다.