위메이드의 블록체인 생태계 '위믹스(WEMIX)'에서 스테이블코인 '위믹스달러(WEMIX$)' 관련 컨트랙트의 소유권이 침해돼 522만개 이상의 위믹스달러가 비정상 발행되는 보안 사고가 발생했다.
위믹스 측에 따르면 비정상 거래는 지난 26일 오후 6시 17분(UTC+9) 발생했다. 조사 결과 WEMIX$ 관련 컨트랙트의 소유권이 침해됐으며, 이를 통해 WEMIX$가 무단으로 발행되고 USDC.e가 외부 주소로 전송된 것으로 확인됐다. 정확한 권한 침해 경로와 사고 원인은 현재 조사 중이다.
위믹스가 현재까지 파악한 비정상 발행 규모는 약 522만5525 WEMIX$다. 해당 물량은 이후 3만736 WEMIX와 72만4198.27 USDC.e로 전환됐다.
전환된 USDC.e는 브리지를 통해 이더리움과 BSC(BNB 스마트 체인)로 이동한 뒤 ETH와 USDT 등 여러 자산으로 교환돼 분산됐으며, 일부는 중앙화 거래소로 유입된 것으로 파악됐다. 위믹스 측은 공격자의 지갑과 자금 이동 경로를 확인하고 온체인 거래를 추적하고 있다. 관련 거래소 및 스테이블코인 발행기관에도 자산 동결과 협조를 요청했으며, 일부 거래소에서는 공격자 관련 주소에 대한 동결 조치를 완료했다.
위믹스는 추가 피해를 막기 위해 WEMIX3.0과 연결된 브리지 운영을 일시 중단했다. 체인링크의 크로스체인 상호운용 프로토콜(CCIP)과 PLAY 브리지 역시 중단됐다.
WEMIX-USDC.e와 WEMIX-WEMIX$, CROW-WEMIX$, TIPO-WEMIX$, PLAY-WEMIX$ 등 사고 영향을 받을 수 있는 유동성 풀의 거래도 일시 중단했으며, 위믹스 재단이 공급한 유동성은 회수했다.
서비스 차원의 제한 조치도 이뤄졌다. WEMIX$ 모듈과 탈중앙화거래소 'PNIX DEX', 관련 백엔드 시스템이 일시 중단됐으며 일부 게임의 블록체인 연동 콘텐츠에도 사전 점검 및 제한 조치가 적용됐다. NFT 마켓플레이스의 거래와 입찰 기능 및 관련 WEMIX PLAY 기능도 제한된 상태다.
위믹스 측은 이번 사고와 관련된 컨트랙트뿐 아니라 유사한 구조를 가진 컨트랙트에 대해서도 종합적인 점검을 진행하고 있다. 다만 현재까지 컨트랙트 소유권이 어떤 방식으로 침해됐는지와 전체 피해 규모, 자산 회수 규모 등은 확정되지 않았다.
위믹스는 사고 당일 첫 공지를 통해 WEMIX3.0 네트워크에서 잠재적인 보안 사고가 발생했으며 WEMIX$ 컨트랙트의 소유권이 침해됐을 가능성을 조사하고 있다고 밝혔다. 이후 후속 조사에서 실제 관련 컨트랙트의 소유권 침해와 WEMIX$ 비정상 발행 사실을 확인했다.
위믹스에서 대규모 자산 탈취 사고가 발생한 것은 지난해에 이어 두 번째다. 지난 2025년 2월 28일에는 PLAY 브리지 볼트가 외부 공격을 받아 총 865만4860 WEMIX가 13차례에 걸쳐 공격자 지갑으로 비정상 출금됐다. 위믹스가 당시 코인마켓캡 가격을 기준으로 산정한 탈취 자산 가치는 약 87억5000만원이었다.
위메이드 관계자는 "비정상적인 트랜잭션을 인지한 즉시 피해 확산을 막기 위해 1차적인 조치를 취했으며, 계속해서 조사를 진행 중이다"라면서 "추가로 확인되는 내용은 후속 공지를 통해 신속히 안내드릴 것"이라고 전했다.
[이시영 기자 banshee@chosun.com] [gamechosun.co.kr]
