▲ 기사 내용을 참조한 Ai이미지 [토요경제]

 

위메이드의 블록체인 프로젝트 위믹스가 지난해 해킹 사고 이후 보안 체계 강화를 공언했지만 1년여 만에 또다시 핵심 관리자 권한 탈취 사고를 겪었다. 이번에는 위믹스달러(WEMIX$) 스마트컨트랙트의 오너 권한이 악용돼 522만여개가 무단 발행됐다. 종료 절차를 밟던 자산의 신규 발행 권한이 왜 유지됐는지와 지난해 보안 대책이 해당 시스템에 어떻게 적용됐는지는 공개되지 않았다.

30일 업계에 따르면 지난 26일 오후 6시17분 위믹스달러 스마트컨트랙트의 오너 권한이 탈취돼 522만5525개의 위믹스달러가 비정상 발행됐다. 오너 권한은 계약의 주요 설정을 변경하고 관리 기능을 실행할 수 있는 최고 관리자 권한이다.

공격자는 무단 발행한 위믹스달러 일부를 탈중앙화거래소(DEX) 유동성 풀에서 위믹스 3만736개와 USDC.e 72만4198.27개로 교환했다. 확보한 자산은 이더리움과 BNB체인으로 옮겨져 이더리움(ETH), 테더(USDT) 등으로 바뀐 뒤 여러 지갑으로 분산됐다.

다만 비정상 발행량 전체를 실제 피해액으로 볼 수는 없다. 한 블록체인 전문가는 “무단 발행된 위믹스달러 자체보다 실제 정상 자산으로 교환된 규모를 기준으로 피해액을 산정해야 한다”고 설명했다. 최종 반출액과 동결·회수 규모는 아직 확정되지 않았다.

이번 사고에서는 위믹스달러 발행 과정도 악용된 것으로 분석됐다. 통상 USDC가 담보금고에 들어가면 이에 대응하는 위믹스달러가 발행되지만, 공격자는 USDC가 자신에게 돌아오도록 설정을 바꾼 뒤 담보 없이 만들어진 토큰을 기존 물량과 동일하게 사용한 것으로 파악됐다.

이 과정에서 공급은 늘고 담보와 유동성은 줄면서 1달러 연동도 흔들렸다. 블록체인 전문가는 “1대1 교환 기대가 깨지면 가치가 떨어질 수밖에 없다”고 말했다.

이번 사고는 지난해 플레이 브릿지 해킹과 방식이 다르다. 지난해 2월28일에는 위메이드의 대체불가능토큰(NFT) 플랫폼 ‘나일(NILE)’의 서비스 모니터링 시스템에 사용된 인증키가 탈취된 뒤 플레이 브릿지 볼트의 위믹스 865만4860개가 13차례에 걸쳐 외부로 이전됐다. 당시에는 새로운 토큰이 발행되지 않았다.

반면 이번에는 스마트컨트랙트 관리자 권한을 이용해 위믹스달러가 새로 발행됐다. 두 사고를 같은 취약점에서 발생한 사건으로 볼 수는 없지만 핵심 권한이 공격에 이용됐다는 점은 같다.

위메이드는 지난해 사고 이후 서버 인프라 이전과 공개키·개인키 교체, 24시간 자산 이동 모니터링, 의심 거래 추가 승인 등의 대책을 발표했다. 올해 지속가능경영보고서에서도 디지털 자산 관리와 정보보안 강화를 핵심 과제로 제시하며 개발 환경과 자산 운영 보안 체계 강화를 강조했다.

지난해 9월 원화 스테이블코인 프로젝트 공개 당시 김석환 위메이드 부사장은 “과거에 비해 좋아진 보안 환경을 구축했고 약점들을 써틱(CertiK)을 통해 충분히 보완하고 있다”고 말했다. 안용운 최고기술책임자(CTO)도 “이전에 있었던 사고는 절대 일어나지 않을 것이라고 자신한다”고 밝혔다.

위메이드 측은 이번 취재에서 관리자 권한 관리 방식과 다중서명 등 복수 승인 체계 적용 여부, 지난해 대책의 위믹스달러 시스템 적용 여부, 신규 발행 권한을 유지한 이유 등을 보안 또는 내부 규정상 공개하기 어렵다고 밝혔다. 사고 원인과 반출·회수 규모, 이용자 피해와 보상 여부는 조사 결과가 확인되는 대로 공지하겠다는 입장이다.

염흥열 순천향대 정보보호학과 명예교수는 “두 사고는 서로 다른 취약점에서 발생한 것으로 보이지만 첫 사고 대책을 마련할 때 다른 시스템과 권한 영역까지 함께 점검했어야 한다”며 “그 과정이 충분했는지 살펴볼 필요가 있다”고 말했다.

이어 “관리자 권한 하나로 중요 기능을 실행할 수 있었다면 복수 승인 등 보안이 설계 단계부터 내재돼 있었는지 점검해야 한다”며 “모니터링 기준이 느슨했는지, 경고 뒤 대응이 이뤄졌는지도 확인할 필요가 있다”고 설명했다. 다만 위믹스달러의 실제 권한 구조와 내부 탐지 시점은 공개되지 않았다.

위믹스달러는 이미 USDC.e로 대체되는 과정에 있었다. 위믹스는 지난 3월 전환 계획을 공개하고 4월부터 관련 유동성 공급과 지원을 단계적으로 종료했다. 기존 이용자의 교환과 출금을 위한 기능 유지와 별개로 신규 발행 권한이 남아 있던 이유는 확인되지 않았다.

이번 사고를 계기로 지난해 발표한 보안 대책의 실제 적용 범위와 종료 자산의 권한 관리 기준에 대한 설명 요구도 커질 것으로 보인다. 위메이드가 추진 중인 원화 스테이블코인 전용 블록체인 ‘스테이블넷’ 등 향후 사업의 신뢰도에도 이번 사고가 영향을 미칠 가능성이 있다.

토요경제 / 황세림 기자 hsr@sateconomy.co.kr

[ⓒ 토요경제. 무단전재-재배포 금지]