예측 시장 이중 타격: Polymarket, CFTC 조사 받고, Myriad, 10개 시장 해킹으로 무효화

2026년 10월 27일, 로이터통신은 미국 상품선물거래위원회(CFTC)가 폴리마켓(Polymarket)이 2022년 합의서에 명시된 ‘미국 사용자에게 서비스를 제공하지 않음’ 조항을 준수하고 있는지 검토 중이라고 보도했다. 검토 범위는 위치 기반 식별 기능, 미국 내 광고 집행 여부, 그리고 미국 거래소에서의 고객 등록 및 보호 조치 등이다. 한편 그 이틀 전인 10월 26일에는 BNB 체인 기반 예측시장 마이리어드(Myriad)가 관리자 지갑 해킹 사고로 인해 10개 시장의 유효성을 취소하고 자동 환불 절차를 발동했다.

이 두 사건을 함께 보면, 2026년 현재 이 분야가 직면한 두 가지 핵심 리스크가 선명하게 드러난다: 규제 컴플라이언스와 청산 권한. 본 기사에서는 예측시장을 세 단계로 나누어 설명한다—어떤 방식으로 청산되는지, 2026년 현재 규제는 어디까지 진전되었는지, 그리고 일반 사용자가 실제로 마주할 수 있는 구체적인 함정은 무엇인지.

먼저 2022년 합의서 내용을 정확히 살펴보자

올해 진행 중인 이번 검토를 제대로 이해하려면, 4년 전으로 돌아가야 한다. 2022년 1월 3일 CFTC는 블록라티자이즈 주식회사(Blockratize, Inc.) d/b/a Polymarket.com에 대해 명령서(Docket No. 22-09)를 발표하며, 이 회사가 "상품거래법"(Commodity Exchange Act)의 제4c(b)조(7 U.S.C. § 6c(b)) 및 제5h(a)(1)조(7 U.S.C. § 7b-3(a)(1))를 위반했으며, CFTC 규정 제32.2조와 제37.3(a)(1)조에도 어긋났다고 주장했다.

핵심 사실은 다음과 같다: 폴리마켓은 SEF(Swap Execution Facility)나 지정계약시장(DCM)으로 등록되지 않은 상태에서 미국 거주자들에게 이벤트 기반 이진 옵션을 제공했는데, 이러한 상품은 ‘스왑(swap)’에 해당한다.

처벌 및 의무사항은 매우 구체적이었다:

• 민사 벌금 140만 달러(‘실질적 협조’를 이유로 감경됨).
• 2022년 1월 14일 이전까지 불법 시장에 대한 접근을 즉시 중단.
• 모든 불법 시장을 단계적으로 종료(‘winding down’)하고, 참여자들이 전액 환급받을 수 있도록 조치.
• 2022년 1월 24일 이전까지 CFTC에 서면으로 이행 완료를 증명.

명령서는 당시 운영 규모도 공개했다: 2020년 6월부터 약 900개의 이벤트 기반 이진 옵션 시장이 개설되었고, 누적 거래량은 1.3억 달러 이상이었다. 계좌 개설은 이메일과 사용자명만으로 가능했으며, 추가 신분 정보는 요구되지 않았다. 청산은 폴리마켓 내부의 ‘시장 무결성 위원회(Markets Integrity Committee)’가 일방적으로 결정했다.

2026년 검토 현황: 현재까지는 언론 보도만 존재

여기서는 증거의 신뢰도를 분명히 밝혀야 한다. 우리는 로이터통신의 2026년 10월 27일 보도와 그 내용을 인용한 기사만 확인했을 뿐, CFTC의 공식 보도자료, 명령서 또는 기타 공식 확인 문서는 전혀 찾지 못했다. 보도의 핵심 포인트는 다음과 같다:

• 이번 검토는 2026년 초부터 이미 시작된 CFTC의 광범위한 조사의 일부이며, 새로운 집행 조치가 아니다.
• 검토 초점은 2022년 합의 조항 위반 여부—즉, 위치 기반 식별 기능이 제대로 작동하는지, 여전히 미국 내에서 마케팅 활동을 하는지, 미국 거래소의 고객 등록(onboarding) 및 보호 조치가 충실히 이행되고 있는지—에 있다.
• CFTC, 폴리마켓, 미 법무부(DOJ) 모두 입장을 밝히지 않겠다고 공식 거부했다.
• 보도는 동시에 다음과 같은 경고 문구를 포함했다: "조사 자체는 반드시 잘못된 행위를 의미하지 않는다(an investigation by itself does not necessarily indicate wrongdoing)".

또 하나 자주 간과되는 시간표가 있다: CFTC는 2024년 이미 폴리마켓의 합의서 준수 여부를 조사했고, DOJ 역시 관련 조사를 진행했으나, 양 기관의 조사는 2025년 7월에 종료되었으며, 어떤 기소도 제기하지 않았다. 이 기간 동안 FBI는 2024년 11월 CEO 셰인 코플란(Shayne Coplan)의 자택을 압수수색하기도 했다. 즉, ‘조사 대상’이 되는 상황은 이미 이 사건에서 한 차례 발생했으며, 최종적으로 기소 없이 종결된 바 있다.

폴리마켓의 현재 법적 지위: 해외 사이트 ≠ 미국 사이트

이 부분은 가장 혼동되기 쉬운데, 반드시 구분해서 이해해야 한다:

1. 2025년 7월 21일: 폴리마켓은 1.12억 달러에 QCEX를 인수한다고 발표했다. 이 인수에는 CFTC 라이선스를 보유한 QCX, LLC 거래소와 QC Clearing LLC 청산소가 포함된다.
2. 2025년 7월 9일: CFTC는 폴리마켓의 미국 법인에 대해 계약시장 지정(DCM designation)을 부여했으며, 이 사실은 2025년 법원 서류에서 인용되었다.
3. 2025년 11월 25일: CFTC는 수정된 지정 명령서(Amended Order of Designation)를 승인하여, ‘중개형(intermediated)’ 방식으로 운영할 수 있도록 허용했다. 즉, 선물수수료업자(FCM)를 통해 미국 고객에게 접근할 수 있으며, DCM에 적용되는 모든 CEA/CFTC 규정을 준수해야 한다.

따라서 오늘날에는 두 가지 서로 다른 서비스가 존재합니다. 해외(오프쇼어) 폴리마켓(Polymarket)(CFTC 규제를 받지 않으며, 이번에 ‘미국인에게 여전히 개방되어 있는가’ 여부가 조사된 곳)과 폴리마켓 US(Polymarket US)(DCM 라이선스를 보유하고 FCM 중개를 통해 운영됨). 동일한 이벤트라도 두 플랫폼에서 가격과 유동성 깊이가 달라질 수 있습니다—이는 버그가 아니라, 두 가지 서로 다른 규제 체계가 공존하는 결과입니다.

마이리어드(Myriad) 사고: 결산 권한이 빼앗기면 시장 전체가 무효화됨

두 번째 사례는 ‘예측시장이 무엇에 의존해 살아남는가’를 더 잘 보여줍니다. 여러 언론 보도에 따르면(마이리어드 공식 사고 보고서 원문 링크는 확보하지 못함):

• 발생 시각: 공격은 2026-10-26 06:07 UTC에 시작됨.
• 공격 방식: 해킹된 것은 마이리어드 내부에서 일부 시장을 자동 생성·결산하기 위해 사용되던 관리자 지갑(admin 지갑). 공격자는 이 지갑을 이용해 포지션을 매수한 후, 해당 포지션을 승리자로 선언하고 보상을 직접 수령함—유동성을 훔치는 것이 아니라, 결과 자체를 직접 조작한 것임.
• 근본 원인: 마이리어드는 비밀키 노출 원인을 명시되지 않은 제3자 라이브러리의 취약점으로 규정했으며, 이 노출은 수주 전부터 이미 발생했다고 밝힘.
• 대응 조치: 총 10개 시장을 무효화; 영향을 받은 시장의 양쪽(승자·패자) 보유자 전원에게 ‘보유 분율 × 공격 이전 최종 가격’ 기준으로 자동 환불 처리; 이미 허위 결산으로 지급된 보상금은 환불액에서 차감; 자금 출처는 ‘회수된 자산 + 시장 풀’; 사용자는 별도 신청 없이 자동으로 지갑에 입금됨.
• 확인 가능한 사례 하나: BscScan 기록에 따르면, 관리자 지갑이 시장 105144(‘OpenAI vs Anthropic IPO’)의 결산을 실행했고, 이후 약 11,609 USDT가 시장 계약에서 해당 지갑으로 이체됨. 이어 약 11,715 USDT가 다른 주소로 판매 및 이체됨.

주의할 점은, 마이리어드가 ‘공격자가 자금을 인출하지 않았으며, 모든 자금이 회수됐다’고 주장하지만, The Defiant은 이 주장은 체인 상 기록만으로는 독립적으로 검증할 수 없다고 명확히 지적했습니다—단순 이체 기록만으로는 수취 주소의 실질적 소유자가 누구인지 알 수 없습니다. 또한 총 손실 금액, 영향을 받은 사용자 수, 환불 완료 시점 등은 공식적으로 전혀 공개되지 않았습니다.

이 사건에서 금액보다 더 중요한 교훈은 기술적 측면입니다: 예측시장에서는 ‘누가 결과를 발표할 수 있는가’가 ‘누가 거래할 수 있는가’보다 훨씬 핵심적인 요소입니다. 거래 권한이 탈취되면 최악의 경우 선매수(프론트런)만 발생하지만, 결산 권한이 탈취되면 시장 전체가 즉시 무효화됩니다.

결산 메커니즘: 사실 당신은 ‘누가 결과를 발표할 것인가’에 베팅하고 있는 것입니다

플랫폼마다 결산 경로가 크게 다르며, 이는 바로 당신의 리스크 노출 정도를 결정합니다:

• 폴리마켓(해외): UMA 낙관적 오라클에 의존—결과를 먼저 제안한 후 도전 기간(challenge window)을 거치고, 논란이 있으면 UMA의 DVM 중재로 상향 조정. 위험은 제안이 잘못되었을 때 도전 기간 내에 아무도 이의를 제기하지 않으면 잘못된 결과가 그대로 확정된다는 점입니다.
• 칼시(Kalshi): CFTC의 DCM 라이선스를 보유하며, 규칙과 결산 모두 연방 규제 프레임워크에 따라 관리됨.
• 마이리어드(Myriad): 오프체인·온체인 혼합 주문책 구조이며, API에 oracle 필드가 있음; ‘마이리어드가 직접 결산하는 시장’의 경우 이 필드는 공백이며, 즉 플랫폼이 스스로 결산할 수 있음—이번 사고는 바로 이 지점에서 발생함.

또 한 가지는 ‘분율 경제(shares economy)’입니다: 승리자에게는 1분율당 1달러, 패배자에게는 0달러가 지급되며, 가격 자체가 시장의 암묵적 확률을 반영합니다. 이는 가격이 반드시 확률의 진짜 값과 같다는 뜻이 아니며, 단지 참여자들이 돈으로 투표한 결과일 뿐입니다. 유동성이 부족하거나 누군가 비공개 정보를 보유하고 있을 때는 가격이 체계적으로 실제 확률에서 벗어날 수 있습니다.

2026년의 규제 상황: 연방 정부는 추진 중, 주 정부는 집행 중, 법원은 입장이 갈림

올해 가장 기억해야 할 구조적 사실은, ‘CFTC 라이선스를 획득했다’는 것 자체가 모든 주에서 무조건 통용된다는 뜻이 아니라는 점입니다:

1. 2026-03-12: CFTC 시장 감독부가 DCM에서 이벤트 계약(특히 스포츠 계약) 상장을 위한 직원 안내서(Staff Advisory)를 발표했으며, 같은 날 의견 수렴을 위한 ANPR도 공개함.
2. 2026-06-12: CFTC가 "연방공보(Federal Register)"에 ‘예측시장; 공익 판단(Prediction Markets; Public Interest Determinations)’이라는 제목의 규칙안(RIN 3038-AF65, 91 FR 35806)을 게재함. 이 규칙안은 어떤 이벤트 계약이 ‘공익에 반한다’고 판단되어 상장 또는 청산이 금지될 수 있는지를 명확히 하려는 것이며, ‘게이밍(gaming)’ 등 개념도 정의함. 의견 제출 마감일은 2026-07-27.
3. 2026-04-06 제3순회법원: 칼시엑스 대 플래허티(KalshiEX v. Flaherty, No. 25-1922) 사건에서, 초보 금지 명령을 유지하며, CEA(상품거래법)가 뉴저지주 도박법보다 우선 적용될 가능성이 높다고 판단함.
4. 2026-08-28 제9순회법원: 칼시엑스 대 앗사드(KalshiEX v. Assad, No. 25-7516) 사건에서, 초보 금지 명령 해제를 유지하며, CEA가 네바다주 도박법보다 우선 적용되지 않을 가능성이 높다고 판단함. 이유는 네바다주에서 거래되는 스포츠 이벤트 계약이 ‘스왑(swap)’에 해당하지 않으므로, 네바다는 계속해서 집행권을 행사할 수 있다는 점임.

두 순회법원이 상반된 결론을 내렸다는 것은, 동일한 상품이 A주는 합법이지만 B주에서는 금지될 수 있음을 의미합니다—지역별 차이는 2026년에도 여전히 예측시장이 직면한 가장 큰 불확실성입니다.

일반 사용자에게 닥칠 여섯 가지 실제 리스크

1. 결산 분쟁: 오류가 있거나 시기상조인 제안이 이의 제기 기간 내에 누구에게도 반박되지 않으면 최종 확정됩니다. Polymarket의 UMA 메커니즘은 사용자에게 이의 제기 권한을 부여하지만, 이를 행사하려면 실시간 모니터링과 증거금이 필요합니다.
2. 플랫폼 내부 권한 침해: Myriad는 한 차례 사건으로 10개 시장의 결과를 무효화했습니다. 전액 환불을 약속했다고 해도, 사용자는 시간 비용과 “회사 측이 자금을 회수했다고 주장한다”는 신뢰 위험을 감수해야 합니다.
3. 지역 및 법집행 리스크: VPN을 이용해 해외 플랫폼에 접속하는 것 자체가 법집행 리스크를 동반할 수 있습니다. 2026년 4월 23일, CFTC와 DOJ는 현직 미국 육군 특수부대 군사경찰(Gannon Ken Van Dyke)을 상대로 ‘Operation Absolute Resolve’ 관련 기밀 정보를 악용해 Polymarket에서 약 33,000 달러 상당의 ‘Yes’ 지분을 매수하고 약 409,881 달러의 이익을 얻었다는 혐의로 민사·형사 병행 조치를 취했습니다. 그는 위치 은닉을 위해 VPN을 사용했으며, 형사 사건 번호는 26 Cr. 156입니다.
4. 주 단위 서비스 중단: 제9순회항소법원은 네바다주가 Kalshi의 스포츠 계약에 대해 집행 조치를 취하는 것을 허용했습니다. 다른 주에서는 정반대 판결이 나기도 했으며, 따라서 플랫폼 접근 제한 여부는 주마다 달라질 수 있습니다.
5. 내부 정보 비대칭: Van Dyke 사건은 비공개 정보를 보유한 자가 안정적으로 수익을 낼 수 있음을 보여줍니다. 사용자가 마주하는 것은 ‘순수한 확률 시장’이 아니라 정보 비대칭이 존재하는 시장입니다.
6. 유동성 분산: Polymarket 해외 사이트 점유율은 4%에 불과하며, Polymarket US는 12%입니다. 동일한 이벤트라도 두 플랫폼에서 가격과 유동성 깊이가 다르며, 일반 사용자에게는 장소 간 아비트리지를 통한 수익 창출이 열려 있지 않습니다.

다른 ‘온체인 실제 사용량’ 데이터와 비교해 보고 싶다면, AI 에이전트가 1년간 1.38억 건의 온체인 결제를 처리함 기사 속 x402의 실제 호출 규모를 참고하세요. 또 ‘어떤 주체가 자산 결산을 대신 수행하는가?’라는 질문의 또 다른 측면으로서, 아서 헤이즈(Arthur Hayes)의 2026년 전망 재검토에서 언급된 AI 해시레이트 파생상품 구상은 본질적으로 새로운 결산 및 가격 책정 메커니즘을 설계하는 것입니다.

자주 묻는 질문

Polymarket은 미국에서 실제로 합법적인가요?

주체를 구분해야 합니다. 해외에서 운영되는 Polymarket은 2022년 미국 거주자에게 등록 없이 이벤트 기반 이진 옵션을 제공한 혐의로 140만 달러 벌금을 부과받았으며, 불법 시장에 대한 접근을 중단하라는 명령을 받았습니다. DCM 라이선스를 보유한 별도 법인인 Polymarket US는 2025-11-25에 CFTC로부터 FCM 중개 방식으로 운영할 것을 승인받았습니다. ‘Polymarket이 합법화됐다’는 결론을 받아들이기 전에, 자신이 실제로 이용 중인 사이트가 어느 곳인지 반드시 확인하세요.

CFTC 조사가 곧 문제가 생긴다는 뜻인가요?

그렇게 단정할 수 없습니다. 이번 조사는 ‘2022년 합의 조항을 위반했는가’를 검토하는 컴플라이언스 점검이며, 보도 자료는 명확히 ‘조사 중이라 해서 위반을 의미하지 않는다’고 밝혔습니다. 또한 2024년 진행된 유사한 조사(DoJ 포함)는 2025년 7월 종료됐으며, 어떤 기소도 이루어지지 않았습니다. 현재까지 공개된 근거는 단지 ‘보도 자료’ 수준이며, CFTC는 공식적으로 이를 확인하지 않았습니다.

Myriad에서 무효화된 10개 시장에 투자했는데, 내 돈은 어떻게 되나요?

공식 입장에 따르면, 영향을 받은 시장의 양측 보유자들은 ‘지분 × 공격 발생 전 마지막 가격’ 기준으로 자동 환불됩니다. 이미 수령한 보너스는 환불 금액에서 차감되며, 별도 신청은 필요 없습니다. 다만 다음 세 가지 사항을 유의해야 합니다: ① 환불은 구매 가격이 아닌 공격 직전 가격을 기준으로 산정됩니다; ② 환불 자금은 ‘회수된 자산 + 시장 풀’에서 충당되며, 풀 잔고가 부족할 경우 지급 우선순위는 공식적으로 공개되지 않았습니다; ③ ‘공격자가 자금을 인출하지 않았다’는 주장은 체인상 기록만으로는 독립적으로 입증할 수 없습니다.

왜 결산 권한이 거래 권한보다 더 위험하다고 하나요?

거래 권한이 탈취되면 최악의 경우 잘못된 가격으로 체결될 수 있지만, 결산 권한이 탈취되면 플랫폼이 직접 누가 승자인지 선언할 수 있기 때문입니다. Myriad 사건 역시 관리자 지갑이 포지션을 매수한 후 승자로 선언하고, 바로 배당금을 수령하는 방식으로 일련의 과정이 완료됐습니다. 플랫폼을 선택할 때는 먼저 결산 경로(낙관적 예측기, 외부 오라클, 혹은 플랫폼 자체 결산)를 확인한 후 수수료를 살펴보세요.

1,185억 달러의 거래액은 진짜인가요?

이는 ‘계약 액면가’ 기준이며, 실제 베팅 금액이 아닙니다. 같은 페이지에서 30일간 실제 현금 결제액은 287억 달러, 24시간 기준은 38억 달러입니다. 액면가를 현금 흐름처럼 인용하면 이 분야의 규모를 약 4배 과장하게 됩니다.

위험 고지: 예측 시장 계약은 고위험 상품으로, 원금 전액 손실 가능성이 있으며, 본 문서는 투자 조언을 구성하지 않습니다. 본문에서 언급된 CFTC의 2026년 조사 관련 내용은 모두 보도 자료에 근거한 것이며, 규제 기관의 공식 확인을 받지 않았습니다. Myriad 사건의 총 손실 규모, 영향을 받은 사용자 수, 자금 회수 상황 등은 모두 프로젝트 측 발표에 의한 것으로, 독립적인 검증을 거치지 않았습니다. 업계 거래량 데이터는 제3자 통계에 기반하며, 통계 기준이 다를 수 있습니다(계약 액면가 vs 실제 지불 현금). 이벤트 계약의 합법성 여부는 관할 지역마다 달라지므로, 참여 전 반드시 본인 거주 지역의 법률 상태 및 플랫폼 라이선스 보유 여부를 확인하세요.