월드컵이 오늘 막을 내립니다. 많은 사람들에게 이번 대회는 암호화폐와의 첫 만남이었습니다. 그 주된 이유는 예측시장입니다. 예측시장은 축구 팬들에게 경기 결과에 베팅하는 새로운 방식을 제공했으며, 전통적인 북메이커를 이용하는 것보다 더 신뢰할 수 있고 투명해 보였습니다. 명백히 북메이커들은 이 경쟁을 심각하게 받아들였고, 가장 잘 알려진 예측시장인 Polymarket을 여러 국가에서 금지하도록 로비력을 행사했습니다. 대회 기간 중 Polymarket은 체코와 프랑스에서 금지되거나 불법 플랫폼 목록에 추가되었습니다. 인도, 인도네시아, 스페인도 대회 개막 직전에 비슷한 조치를 취했으며, 브라질과 아르헨티나는 봄에 이미 그렇게 했습니다.
왜 베팅을 즐기는 축구 팬들이 전통적인 북메이커보다 Polymarket 같은 플랫폼을 점점 더 선택할까요? 예측시장에서는 모든 것이 북메이커보다 더 명확하고 공정하며 신뢰할 수 있게 보이기 때문입니다. 암호화폐와 관련된 모든 복잡성은 화면 뒤에 숨겨져 있습니다. Google로 가입하거나 MetaMask, Trust Wallet 또는 다른 지갑을 연결할 수 있습니다. 그런 다음 단지 결과를 선택하고 감당할 수 있는 만큼만 베팅하면 됩니다.
그러나 이러한 단순함 뒤에는 심지어 꽤 경험 있는 암호화폐 사용자조차 모를 수 있는 위협들이 숨어 있습니다. 베팅의 흥분에 사로잡힌 초보자들이 얼마나 취약할지 상상해 보세요.
오늘 기사에서 논의하고자 하는 위협들은 바로 이들입니다.
Polymarket이 북메이커보다 실제로 더 공정한 부분
전통적인 북메이커에게 베팅을 걸면, 그 회사 자체가 당신의 상대방(counterparty)입니다. 회사는 배당률을 계산하고 그 안에 자체 이윤을 포함시키며 특정 결과의 리스크를 떠안고, 약관을 변경하거나 베팅 한도를 제한하거나 아예 베팅을 받지 않을 수도 있습니다.
Polymarket은 다른 모델을 사용합니다. 당신의 상대방은 당신과 똑같은 플랫폼 사용자의 한 명입니다. 당신과 다른 점은 단지 경기나 다른 사건의 결과에 대한 관점뿐입니다. 예를 들어 어떤 사용자가 어느 결과에 60센트를 걸어 1달러를 받기를 기대하고, 당신이 반대 결과에 40센트를 걸어 같은 1달러를 받으려 한다고 가정해 보십시오. 당신의 주문은 자동으로 매칭되어 완전 담보화된 "Yes"와 "No" 토큰 쌍을 만듭니다. 경기가 끝나면 최종 결과에 따라 그 토큰들 중 하나를 1달러로 상환할 수 있습니다.
Polymarket의 모든 것은 어떤 북메이커보다도 더 유연합니다. 모든 사용자는 오더북에 제출된 다른 참가자들의 모든 주문을 확인하고 자신만의 가격을 설정할 수 있습니다. 또한 마음이 바뀌거나 시장이 자신에게 유리하게 움직여 포지션이 이미 수익을 내고 있다면 이벤트가 끝나기 전에 베팅을 되팔 수도 있습니다. 이 점에서 Polymarket은 북메이커라기보다 거래소에 더 가깝습니다.
정산은 Polygon 네트워크의 스마트 계약을 통해 이루어집니다. 스마트 계약은 경기나 다른 현실 세계 사건의 결과를 알 수 없습니다. 따라서 시장에 참여한 누군가가 그 결과를 제출해야 합니다. 당신이 직접 제출할 수도 있고, 만약 틀렸다면 다른 어떤 참가자가 당신의 결정을 이의를 제기할 수 있습니다. 그 이의제기는 이후 UMA 토큰 보유자들의 투표로 결정되며 그 투표 결과는 최종으로 간주됩니다. 이는 북메이커의 폐쇄된 내부 절차보다 훨씬 투명합니다.
그러나 투명성이 반드시 사용자에게 안전함을 의미하지는 않습니다.
Polymarket은 보이는 것만큼 분산되어 있지 않습니다
Polymarket은 때때로 분산형 북메이커로 묘사되지만, 그 문구의 양쪽 모두 부정확합니다. 첫째, 북메이커가 아닙니다. 배당률을 설정하지 않고 특정 결과의 리스크를 떠안지 않기 때문입니다. 둘째, Polymarket에 대해 진정으로 분산화되었다고 할 만한 요소는 거의 없습니다.
Polymarket의 문서는 그 거래 시스템을 "하이브리드-분산형(hybrid-decentralized)"이라고 부릅니다. 주문은 중앙화된 운영자에 의해 매칭됩니다. 블록체인에 거래를 기록하는 가스는 플랫폼의 게이트웨이를 통해 지급되므로 플랫폼의 협조 없이는 거래가 완료될 수 없습니다. 모든 새로운 마켓은 팀에 의해 생성됩니다. 커뮤니티의 제안을 수용하기는 하지만 사용자가 스스로 새 마켓을 만들 수는 없습니다. Polymarket 팀은 또한 결의(resolution) 기준을 작성하고 나중에 결과를 결정하는 데 사용될 소스를 선택합니다.
이 모든 것은 중앙화된 접근의 예시입니다. 그렇다면 정확히 무엇이 분산화되어 남아 있을까요? 솔직히 저는 모릅니다. 어쩌면 시장 자체의 구성(누구나 거래할 수 있다는 사실)만 남아 있을지도 모릅니다.
언뜻 보기에는 분쟁 해결 과정이 분산화된 것처럼 보입니다. 그러나 투표로 도출된 결정을 실행하는 스마트 계약은 수동으로 지급을 결정할 권한을 가진 관리자에 의해 제어됩니다. 재미있게도 권한을 가진 Polymarket의 관리자 주소 중 하나는 Polygonscan에서 손상된 것으로 표시되어 있습니다.
이미 공개된 마켓의 규칙조차도 팀에 의해 중앙에서 명확히 해석될 수 있습니다. Polymarket은 참가자들이 분쟁 해결 과정에서 고려하도록 요청되는 "추가 컨텍스트(additional context)"를 게시할 수 있습니다. 이러한 해석은 블록체인에 기록되며 규칙상 원래 질문의 의미를 변경해서는 안 됩니다. 그러나 그러한 메커니즘 자체가 존재한다는 사실은 중앙화된 팀이 준비한 문구에 얼마나 많은 것이 의존하는지를 보여줍니다.
따라서 여기서 사용자는 전통적 북메이커에서처럼 플랫폼 관리자에게 결코 덜 의존적이지 않습니다.
화면에 보이는 가격이 항상 당신의 가격은 아니다
경기 전에 북메이커가 당신이 선택한 결과에 대해 1.25의 배당을 제공한다고 상상해 보십시오. 즉 1달러를 얻기 위해 80센트를 걸어야 합니다. 동시에 Polymarket은 당신 결과의 확률을 75%로 표시합니다. 그렇다면 75센트에 "Yes" 토큰을 살 수 있다는 의미일까요? 누군가가 반대 결과에 25센트를 걸 의향이 있다면 살 수 있습니다. 하지만 누군가가 그렇게 할 것이라는 보장은 없습니다.
Polymarket에 표시된 확률은 종종 최우선 매수(bid)와 최우선 매도(ask) 사이의 중간값입니다.
예를 들어 매수(bid)가 70센트이고 매도(ask)가 80센트라면 화면은 75%를 표시할 수 있습니다. 그러나 즉시 매수하려면 최소 80센트를 지불해야 하고, 즉시 매도하면 70센트밖에 받지 못합니다. 스프레드가 10센트보다 넓으면 Polymarket은 중간값 대신 최근 거래 가격을 표시하며 그 가격은 현재 시장과 여러 배 차이가 날 수 있습니다.
주요 축구 마켓은 보통 표시된 확률과 실제로 이용 가능한 가격 간 차이가 작을 만큼 유동성이 충분합니다. 그러나 틈새 이벤트에서는 대규모 거래를 계획하는 누구나 반대 주문이 얼마나 있는지도 확인해야 합니다.
북메이커의 배당률은 더 불리하고 불투명한 마진을 포함할 수 있습니다. 하지만 사용자는 보통 베팅이 어떤 가격에 수락될지를 즉시 확인할 수 있습니다.
Polymarket에서는 가격이 더 공정하게 형성되지만, 사용자는 여전히 가격을 읽는 법을 알아야 합니다. 흥분한 상태에서는 모든 사용자가 그럴 수 있는 것은 아닙니다.
모든 베팅은 Web3 지갑과의 상호작용이다
전통적 북메이커의 고객은 회사에 돈을 맡기고 회사가 그 돈을 안전하게 관리할 책임을 집니다. Polymarket 사용자도 플랫폼에 암호화폐나 스테이블코인을 맡기지만, 그 시점부터 책임은 사용자에게 있습니다.
플랫폼에 이전된 자산에 대해 사용자는 플랫폼 내부 토큰인 pUSD를 받습니다. 이 토큰은 플랫폼 외부에서 거의 유통되지 않습니다. 카지노 칩과 비슷한 것으로, 베팅이나 거래에 사용한 뒤 다시 플랫폼에 돌려주면 일반 암호자산으로 교환할 수 있습니다.
기술적으로 이 토큰들은 사용자의 개인 지갑에 저장되며, 그 지갑으로 모든 거래에 서명해야 합니다.
Google로 가입하더라도 전용 Web3 지갑이 생성되어 Polymarket 웹사이트 인터페이스에 내장됩니다. 이 지갑은 브라우저를 통해서만 접근할 수 있으므로 지갑 내 자금을 안전하게 지키는 책임은 전적으로 사용자에게 있습니다.
외부 지갑을 사용할 때는 서명, 승인, 주소 등이 등장합니다. 사용자는 항상 거래 확인을 요청하는 기술적 Web3 지갑 창을 보게 됩니다. 그러나 이 과정에서 사용되는 EIP-712 서명은 블록체인 기술에 대한 깊은 지식이 없는 사람에게는 기술적 의미 없는 난해한 글자처럼 보입니다. 스스로에게 물어보십시오: 당신은 개인적으로 항상 자신이 정확히 무엇에 서명하는지 이해합니까? 많은 사람들이 "아니오"라고 답할 것이라 확신합니다. 그렇지 않다면 피싱 거래에 서명한 뒤 큰 금액을 잃었다는 우울한 이야기를 그렇게 많이 보지 않았을 것입니다.
rabbit.io에서는 고객이 교환 주문을 생성할 때 웹사이트에 지갑을 연결하지 않도록 의도적으로 설계합니다. 대신 암호화폐를 보낼 주소만 제공합니다. 사용자는 그 주소를 자신의 지갑에 복사한 뒤 자신이 만든 거래를 확인합니다. 명확하고 안전합니다.
그러나 Polymarket에서는 모든 거래가 웹사이트의 스크립트에 의해 자동으로 생성됩니다. 아무 것도 복사할 필요가 없습니다. 지갑 팝업에서 확인 버튼만 클릭하면 됩니다. 그리고 이것이 특히 위험한 사기의 기초가 됩니다.
당신의 자금을 비울 수 있는 북마크
Polymarket의 인기가 높아지면서 자동화된 스크립트나 AI 에이전트를 통해 베팅으로 돈을 버는 방법을 약속하는 제안이 늘고 있습니다. YouTube에서 Polymarket으로 일주일에 $1,000 버는 방법을 찾아보면 많은 옵션을 발견할 수 있습니다. 저는 그 동영상들에 주목을 끌고 싶지 않아 링크를 걸지 않겠습니다. 그들 중 대부분은 사기입니다.
동영상을 만든 사람은 봇이나 "AI 어시스턴트"로 연결되는 링크를 제공합니다. 당신은 그 링크를 따라가 지침을 보게 됩니다: "브라우저를 열고 새 북마크를 만들고 이 코드를 북마크의 주소 필드에 복사한 뒤 저장하세요."
당신은 지시대로 합니다. 브라우저 툴바에 북마크가 생깁니다. 그것은 Polymarket 인터페이스와 작동하는 정교한 봇을 실행하기 위해 저장된 링크에 불과해 보입니다.
그런 다음 Polymarket을 열고 그 북마크를 클릭합니다. 그 순간 당신의 지갑은 비워집니다.
북마크에 저장된 코드는 다음을 수행합니다:
- 지갑 주소, 잔액, 인증 토큰 등 브라우저에서 데이터를 읽습니다.
- 당신이 어떻게 로그인했는지(예: Google인지 지갑인지)를 판단합니다.
- Google로 로그인한 경우 숨겨진 프레임을 사용해 출금 거래에 서명합니다.
- 지갑으로 로그인한 경우 이해할 수 없는 기술적 형식처럼 보이는 EIP-712 구조화 메시지에 서명하도록 요청합니다.
- 돈을 사기꾼의 주소로 보냅니다.
손실에 대해 누구를 탓할 수 있을까요? 책임을 전가할 대상도 없습니다. 코드를 직접 브라우저에 추가했고 북마크를 직접 클릭했기 때문입니다. 브라우저 관점에서는 그게 당신의 행동이었습니다.
이 수법이 널리 퍼지는 이유는 두 가지입니다. 첫째, 아주 적은 수의 사람만이 EIP-712가 무엇인지, 왜 브라우저가 권한을 요청하는지, 그리고 그 권한이 무엇을 포함하는지를 이해합니다. 둘째, 사기꾼은 Polymarket을 해킹하거나 정교한 익스플로잇을 개발할 필요가 없습니다. 그들이 할 일은 누군가가 코드 조각을 붙여넣도록 설득하는 것뿐입니다. 예측시장처럼 유망한 분야에서 쉬운 돈을 약속하면 그리 어렵지 않습니다.
왜 월드컵이 사기꾼들에게 완벽한 시기였나
암호화폐 업계에서의 사회공학적 공격은 세 가지 조건이 동시에 존재할 때 특히 효과적입니다:
- 사용자들이 많은 자금을 보유하고 있다.
- 암호화폐 보안 습관이 확립되지 않은 새로운 청중이 유입된다.
- 조언, 전략, 시그널, "비법"에 대한 수요가 엄청나다.
월드컵은 Polymarket에서 이 세 가지 조건을 동시에 만들었습니다.
축구 팬은 왜 한 국가대표팀이 다른 팀보다 강한지 이해할 수 있지만, 지갑 연결, Google 로그인, 메시지 서명, 스마트 계약 권한 부여, 거래 전송의 차이는 이해하지 못할 수 있습니다. 그래서 사기 영상 제작자는 시청자가 많이 들어만 보고 실제로는 한 번도 사용해 본 적 없는 플랫폼을 자신감 있게 다루는 모습을 보여줌으로써 더 지식 있어 보일 수 있습니다.
전통적인 북메이커도 피싱 사이트로 모방되거나 맬웨어로 계정이 탈취되기도 합니다. 그러나 북메이커는 불만 제기 절차가 있고 사용자 계정에 보관된 돈에 대해 책임을 집니다. 또한 관련된 모든 금액에 대해 북메이커, 고객, 규제 기관이 소유자를 알 수 있습니다. 규제된 북메이커의 모든 고객은 신원 확인을 의무적으로 해야 하기 때문입니다. 이는 북메이커가 성공적인 플레이어를 제재하거나 베팅을 무효화하거나 출금 심사를 지연시키는 규칙을 적용할 수 있다는 사실을 바꾸지 않습니다. 그러나 완전히 돈을 훔쳐 가버리기는 어려울 가능성이 큽니다.
반면 사기꾼이 유효한 암호학적 서명을 얻어 자산을 자신의 주소로 전송하면, 논쟁할 사람이 남아 있지 않은 경우가 흔합니다. 스마트 계약은 당신이 고의로 서명했는지, 속아서 제공했는지를 알지 못합니다. 계약 관점에서는 서명이 유효한지 아닌지뿐입니다.
Polymarket이 전통적 북메이커보다 정말 더 위험한가?
암호화폐 초보자에게는 그럴 가능성이 큽니다. 위험은 경험이 부족한 사용자가 존재한다는 사실조차 모르는 위협들에서 옵니다.
가격 형성, 시장 데이터 접근, 참가자 간 거래, 온체인 정산 측면에서 Polymarket은 전통적 북메이커보다 더 투명합니다. 플랫폼은 항상 모든 포지션에서 당신의 영구적인 상대방이 아니며, 당신이 지는 것을 보는 데 관심이 없습니다.
그러나 북메이커는 계정 복구, 결제 분쟁, 불만 제기 능력 같은 친숙한 소비자 보호 수단에 의존할 때 종종 더 안전합니다. Polymarket은 "하이브리드 분산화"라는 겉모습 뒤에 숨어 사용자들이 입은 손실에 대한 법적 책임을 회피합니다.
오늘 축구 팬들은 우승자에게 마지막 베팅을 하고 있습니다. 만약 당신이 처음으로 Polymarket에 그런 베팅을 하기로 결정한다면, 이 기사가 주요 실수를 피하는 데 도움이 되었기를 바랍니다: 표시된 가격을 중간값과 혼동하지 말고, 기술적 서명을 출금 거래로 오해하지 말며, 지갑을 비우는 프로그램을 유용한 브라우저 북마크로 착각하지 마십시오.
