내 사이트에 붙인 '외부 분석 스크립트'가 바뀌면? — 폴리마켓 270만 달러 사고로 본 외부 스크립트 점검 3가지

외부 업체 스크립트 한 줄이 바뀌면, 그 코드는 내 사이트 안에서 로그인한 손님의 화면을 그대로 조작할 수 있습니다. 2026년 10월 29일 폴리마켓에서 실제로 일어나 약 270만 달러가 빠져나갔고, 회사는 피해 보전까지 총 390만 달러를 돌려주고 있습니다.

무슨 일인가

폴리마켓 사고 보고서(10/30)에 따르면 사이트에 붙어 있던 외부 업체의 성능 측정 스크립트가 악성 스크립트로 바뀌었고, 일부 이용자의 포지션을 팔고 자금을 빼냈습니다. 그 업체는 실사용자 모니터링(RUM, 실제 방문자의 페이지 속도를 재는 도구) 서비스 DebugBear입니다. 더해커뉴스는 DebugBear 도메인의 DNS가 도메인 등록 업체 쪽에서 탈취됐다고 전했고, DebugBear는 당일 고객에게 "임베드 코드를 사이트에서 지우라"고 공지했습니다. 폴리마켓은 스크립트 제거·캐시 삭제·로그인 세션 초기화·거래 일시 정지를 했고, 외부 스크립트를 무결성 통제를 더해 다시 붙이는 중입니다.

왜 중요한가

브라우저는 내 서버 파일이든 외부 업체 파일이든 같은 페이지에서 똑같은 권한으로 실행합니다. 분석·채팅 상담·리뷰 위젯·광고 픽셀처럼 쇼핑몰에 흔히 붙이는 코드가 전부 같은 구조입니다. 이번 코드는 폴리마켓의 CSP(콘텐츠 보안 정책, 불러올 수 있는 주소를 제한하는 헤더)가 허용한 주소로만 통신했습니다. 허용 목록이 있어도, 허용한 업체 자체가 넘어가면 소용이 없다는 뜻입니다.

내 사업·앱에 무슨 의미

• 쇼핑몰 운영자 — 임대형 쇼핑몰 관리자에 직접 넣은 추적·채팅 코드도 결제 화면에서 돌고 있다면 같은 위험입니다.
• 앱 운영자 — 앱 안의 웹뷰 결제·회원 페이지에 붙은 외부 스크립트도 점검 대상입니다.
• 개발자 — 로그인 토큰을 localStorage에 두면 같은 페이지의 모든 스크립트가 읽을 수 있습니다.

제 사이트(appmonster.co.kr)를 직접 확인해 보니 HTML 106쪽에 외부 도메인 script 태그는 0개였고, 방문 수집기가 gstatic.com에서 Firebase SDK 11.0.2를 버전 고정해 불러오는 것이 유일한 외부 코드였습니다. 다만 firebase.json에 CSP 헤더는 아직 없어 다음 점검 항목으로 잡았습니다.

지금 해볼 것

Q&A — 외부 스크립트 보안 자주 묻는 질문

출처

• Polymarket Status — Security incident: 3rd party vendor compromised (사고 보고서)
• Ohey — Polymarket DebugBear 악성 스크립트 분석
• The Hacker News — 2026-11-01 보도