폴리곤, 해킹 유출 POL 7,049만 개 회수 추진…하드포크로 폴리마켓·바이낸스 피해 복구 검토

폴리곤, 해킹 자금 회수를 위한 하드포크 제안 공개

폴리곤 랩스(Polygon Labs) 측에서 폴리마켓(Polymarket)과 바이낸스(Binance) 해킹 사건으로 빠져나간 폴리곤(POL) 약 7,049만 개를 되돌리는 방안을 공식적으로 제시했다. 우블록체인(WuBlockchain) 보도에 따르면, 해당 물량은 10월 29일 시세 기준으로 약 650만 달러 규모다.

이번 안건은 폴리곤 공식 포럼에 폴리곤 개선 제안(PIP) 형태로 게시됐다. 제안자는 폴리곤 랩스 벨리데이터 지원팀 소속의 Parvez03로, 특정 블록 높이에서 공격자 지갑의 POL 잔액을 제거한 뒤 동일한 수량을 피해 기관이 지정한 회수용 주소로 반영하는 방식이 핵심이다.

폴리마켓·바이낸스 해킹 자금, 폴리곤 PoS 체인으로 유입

제안서에 따르면 두 보안 사고는 2026년 10월 29일과 30일에 각각 발생했다. 폴리마켓과 바이낸스 모두 별개의 침해 사건을 공식 인정했으며, 유출된 자금은 결국 네이티브 폴리곤 토큰 형태로 폴리곤 PoS 체인 상 주소들에 집결했다.

공격자 측이 통제하는 주소는 총 5개로 파악됐다. 이 가운데 폴리마켓 관련 자금은 4개 주소에 약 2,386만 개가 분산돼 있으며, 바이낸스 피해분은 1개 주소에 약 4,663만 개가 보관된 상태다.

이미 일부 대응은 이뤄졌다. 피해 기관 요청에 따라 폴리곤 PoS 블록 생산자들인 anonymous-91부터 anonymous-94까지는 해당 주소들을 보르(Bor) 클라이언트의 트랜잭션 차단 목록에 포함시켰다. 이 조치로 자금 이동은 제한됐지만, 현 구조만으로는 동결된 토큰을 원래 소유 측에 되돌릴 수 없다는 점이 문제로 남아 있다.

변경 범위는 제한적…총공급량은 그대로

이번 제안은 적용 대상을 최소화하는 데 초점을 맞추고 있다. 수정 대상은 PIP 문서에 명시된 공격자 지갑의 네이티브 POL 잔액에 한정되며, 자금을 넘겨받을 회수 주소 역시 폴리마켓 또는 바이낸스가 직접 지정하고 검증을 마친 주소만 허용된다.

중요한 점은 이번 조치가 토큰 총공급량을 바꾸지 않는다는 것이다. 새 토큰을 발행하는 구조가 아니라, 특정 주소에 기록된 잔액을 다른 주소로 이전하는 방식이기 때문이다.

• 대상 자산: 공격자 주소에 있는 네이티브 POL
• 회수 방식: 지정 블록 높이에서 잔액 재배치
• 회수 주소: 피해 기관이 지정하고 검증 완료한 주소
• 공급량 변화: 없음

제안서 작성자 역시 이번 방안의 민감성을 인정했다. 문서에서는 이를 반복적으로 사용되어서는 안 될 예외적이고 극단적인 조치로 규정하며, 왜 이런 방식이 필요한지에 대한 정당성은 별도 항목에서 설명했다고 밝혔다.

해킹 복구와 탈중앙성 원칙의 충돌

블록체인 네트워크가 체인 상태를 직접 수정해 해킹 자금을 되돌리는 문제는 언제나 큰 논쟁을 불러왔다. 대표적으로 2016년 이더리움(Ethereum)은 더다오(The DAO) 해킹 이후 하드포크를 선택했고, 이 과정에서 “코드가 곧 법”이라는 철학을 둘러싼 갈등이 커뮤니티 분열로 이어졌다. 그 결과 기존 체인을 유지한 세력이 이더리움 클래식으로 남게 됐다.

이번 폴리곤 사례는 당시 이더리움 사건보다 범위가 좁다는 평가가 가능하다. 다만 블록 생산자들이 특정 주소를 차단할 수 있고, 더 나아가 거버넌스 결정으로 잔액 이동까지 수행할 수 있다는 점이 다시 확인된다는 의미도 있다. 결국 피해 복구라는 실용적 목적과 검열 저항성이라는 블록체인 핵심 가치가 정면으로 맞부딪히는 셈이다.

이 때문에 폴리곤 생태계 참여자들은 이번 사안을 단순한 보안 사고 후속 처리로만 보지 않고 있다. 투자자와 개발자 입장에서는 네트워크 신뢰성과 거버넌스 권한의 범위를 함께 따져볼 수밖에 없다.

650만 달러 규모, 과연 하드포크를 감수할 만한가

회수 대상 규모가 약 650만 달러 수준이라는 점도 중요한 변수다. 피해 금액 자체는 결코 작지 않지만, 체인 차원의 개입이 장기적으로 남길 신뢰 비용까지 고려하면 벨리데이터와 커뮤니티 구성원 사이에서 판단이 엇갈릴 가능성이 있다.

즉, 단순히 자금을 되찾을 수 있느냐의 문제가 아니라, 그 과정에서 네트워크가 어떤 선례를 남기게 되느냐가 쟁점으로 떠오르고 있다.

11월 5일 거버넌스 콜이 분수령

해당 안건은 11월 5일 열리는 폴리곤 프로토콜 거버넌스 콜에서 우선 논의될 예정이다. 만약 승인 절차가 순조롭게 진행된다면, 이후 클라이언트 개발과 테스트넷 리허설은 약 2주 내 마무리될 가능성이 있다.

다만 실제 하드포크 실행 시점은 몇 가지 변수에 달려 있다.

• 회수 주소 검증 절차 완료 여부
• 블록 생산자들의 최종 합의 수준
• 커뮤니티 내부 반대 의견의 강도
• 기술적 테스트 결과와 안정성 검증

결국 이번 제안은 단순한 해킹 피해 복구를 넘어, 폴리곤 네트워크가 위기 상황에서 어느 수준까지 개입할 수 있는지 시험하는 사례가 될 전망이다.

출처 :: https://www.coinddak.com/news/articleView.html?idxno=9337