77억원 규모 위믹스달러 부정 발행…10억원 외부 유출
스마트컨트랙트 취약점 확인…전수조사·수사 협조
(서울=연합뉴스) 김주환 기자 = 2차 해킹으로 수십억원대 스테이블코인 부정 발행 사태가 발생한 위메이드[112040]의 가상화폐 위믹스(WEMIX)가 "블록체인상 거래 허점을 노린 공격으로 관리자 권한이 제3자에게 이전됐다"라고 보안 사고 경위를 밝혔다.
위메이드 자회사 위믹스 재단은 30일 홈페이지를 통해 이같은 보안 사고 원인 분석 결과와 대응 상황을 공개했다.
위믹스 재단에 따르면 공격자는 위믹스달러(WEMIX$)의 가격을 일정하게 유지하는 DIOS, 담보 자산과 1:1로 교환해 주는 AMA 두 개의 스마트컨트랙트 시스템을 노렸다.
DIOS와 AMA는 관리자 주소를 등록하는 초기화 함수를 실행하는데, 2022년 11월 업그레이드 후 이 함수의 실행 제한 조건이 '최초 1회만 허용'에서 '2회차까지 허용'으로 변경됐다.
해당 초기화 함수를 포함한 컨트랙트는 외주 개발사가 만든 것으로, 별도의 접근 권한 제한이 없이 누구나 실행할 수 있는 상태로 유지된 것으로 나타났다.
공격자는 2회차 초기화 함수를 호출, 발행과 교환 기능을 호출할 수 있는 권한을 자신에게 부여했다.
이후 이를 악용해 약 77억원어치에 해당하는 WEMIX$ 약 522만5천525개를 부정 발행했고, 이 중 약 72만3천244개(약 10억원)를 외부로 이전했다. 이와 별개로 일반 위믹스 코인 3만4천752개도 이전된 것으로 드러났다.
위믹스 재단은 "일부 게임 토큰에서 WEMIX$와 연관된 정황이 확인되어 관련 트랜잭션을 분석하고 있다"라며 "공격자 주소를 식별해 자금이 유입된 거래소에 블랙리스트 등재를 요청하고, 발행 권한을 회수해 추가 발행을 차단했다"라고 밝혔다.
그러면서 지난 28일 수사기관에 정식 신고를 마치고 수사에 협조하고 있다고 덧붙였다.
위믹스 재단은 "현재 운영 중인 컨트랙트는 물론, 과거에 배포되어 체인에 남아 있는 모든 컨트랙트를 대상으로 전수 점검을 진행하고 있다"라며 "부정 발행된 WEMIX$가 생태계에 악영향을 미치지 않도록 필요한 조처를 할 예정"이라고 밝혔다.
그러면서 "WEMIX$를 사용하지 않는 서비스부터 안전하게 점검해 순차적으로 재개하고, 이 중 '레전드 오브 이미르'의 블록체인 콘텐츠는 금일중 서비스가 복구될 예정"이라고 덧붙였다.
jujuk@yna.co.kr
Copyright ⓒ 연합뉴스 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
