위믹스, 수십억원대 스테이블코인 부정 발행 사태로 보안 허점 노출

위메이드 계열 가상화폐 위믹스에서 수십억원대 스테이블코인 부정 발행 사고가 발생한 배경은 블록체인 거래 구조의 허점을 노린 공격으로 관리자 권한이 제3자에게 넘어간 데 있었던 것으로 확인됐다. 위믹스 재단은 30일 홈페이지를 통해 이번 보안 사고의 원인과 후속 대응 내용을 공개하고, 추가 발행은 이미 차단했다고 밝혔다.

재단 설명을 보면 공격 대상은 위믹스달러의 가치 유지를 담당하는 디오스와 담보 자산과 1대1 교환 기능을 맡는 에이엠에이 등 두 개의 스마트컨트랙트 시스템이었다. 스마트컨트랙트는 블록체인 위에서 자동으로 실행되는 프로그램인데, 이 시스템에는 관리자 주소를 등록하는 초기화 함수가 포함돼 있었다. 문제는 2022년 11월 업그레이드 이후 이 초기화 함수의 실행 가능 횟수가 기존 1회에서 2회로 늘어났고, 해당 기능을 포함한 컨트랙트가 외주 개발 과정에서 별도 접근 권한 제한 없이 남아 있었다는 점이다.

공격자는 이 틈을 이용해 두 번째 초기화 함수를 실행했고, 그 결과 발행과 교환 기능을 호출할 수 있는 권한을 자신에게 부여한 것으로 파악됐다. 이후 약 77억원어치인 위믹스달러 522만5천525개가 부정 발행됐고, 이 가운데 약 72만3천244개, 금액으로는 약 10억원 규모가 외부로 빠져나갔다. 이와 별도로 일반 위믹스 코인 3만4천752개도 함께 이전된 것으로 드러났다. 스테이블코인은 통상 법정화폐나 담보 자산에 연동해 가격 변동성을 낮추도록 설계된 가상자산인데, 이런 자산이 비정상적으로 발행되면 생태계 전반의 신뢰와 가격 안정성에 직접 충격을 줄 수 있다.

재단은 일부 게임 토큰에서도 위믹스달러와 연결된 정황이 확인돼 관련 거래 기록을 분석하고 있다고 설명했다. 아울러 공격자 주소를 특정해 자금이 들어간 거래소들에 블랙리스트 등재를 요청했고, 발행 권한도 회수해 추가 발행을 막았다고 밝혔다. 지난 28일에는 수사기관에 정식 신고를 마쳤으며 현재 수사에 협조하고 있다고 덧붙였다. 블록체인 업계에서는 해킹 이후 자금 흐름을 빠르게 추적하고 거래소 차단 조치를 요청하는 대응이 피해 확산을 줄이는 핵심 절차로 여겨진다.

위믹스 재단은 현재 운영 중인 컨트랙트뿐 아니라 과거 배포 뒤 체인에 남아 있는 모든 컨트랙트를 전수 점검하고 있다고 밝혔다. 또 부정 발행된 위믹스달러가 생태계에 미칠 영향을 최소화하기 위한 추가 조치도 검토하고 있다. 서비스 운영 측면에서는 위믹스달러를 사용하지 않는 기능부터 순차적으로 재개하고, 게임 레전드 오브 이미르의 블록체인 콘텐츠는 30일 중 복구할 예정이라고 설명했다. 이번 사고는 블록체인 서비스가 기술적으로 탈중앙화를 표방하더라도 실제 운영 과정에서는 권한 관리와 외주 개발 통제, 사후 점검 체계가 얼마나 중요한지를 다시 보여준다. 이 같은 흐름은 향후 게임형 블록체인 프로젝트 전반의 보안 점검 강화와 거래소의 상장 자산 심사 기준 재정비로 이어질 가능성이 있다.