2022년 업그레이드 때 초기화 함수 제한 풀려
관리자 권한 탈취 뒤 위믹스달러 522만개 무단 발행

▲ 위믹스 재단이 지난 26일 발생한 사고의 원인 분석과 대응 경과를 공개했다 [위믹스]

위메이드의 블록체인 프로젝트 위믹스에서 약 77억원 규모의 위믹스달러(WEMIX$)가 부정 발행된 사고는 스마트컨트랙트의 권한 설정 취약점에서 비롯된 것으로 나타났다.

위믹스 재단은 지난 26일 발생한 사고의 원인 분석과 대응 경과를 30일 공개했다.

재단에 따르면 공격자는 위믹스달러 가격을 일정하게 유지하는 ‘DIOS’와 담보 자산을 위믹스달러와 1대1로 교환하는 ‘AMA’ 스마트컨트랙트를 노렸다. 두 컨트랙트는 관리자 주소를 등록하는 초기화 함수를 사용하는데, 2022년 11월 업그레이드 과정에서 실행 제한이 최초 1회에서 2회차까지로 변경됐다.

문제는 두 번째 초기화 함수 호출에 별도 접근 제한이 설정되지 않았다는 점이다. 공격자는 이를 이용해 관리자 주소를 자신이 만든 공격용 컨트랙트로 바꾼 뒤 발행·교환 권한과 수수료 수령 주소를 변경했다.

이후 플래시론과 스왑을 9차례 반복해 위믹스달러 522만5525개를 부정 발행했다. 액면 기준 약 77억원 규모다. 이 가운데 72만3244USDC.e와 3만4752WEMIX가 외부로 이전된 것으로 파악됐다.

위믹스 재단은 해당 컨트랙트가 외주 개발사를 통해 개발·배포됐다며 당시 작업 절차를 확인하고 있다고 설명했다. 일부 게임 토큰에서도 위믹스달러와 연관된 거래 정황이 발견돼 추가 분석을 진행 중이다.

재단은 공격자 주소를 식별해 자금이 유입된 거래소에 동결과 블랙리스트 등록을 요청하고 위믹스달러 발행 권한을 회수했다. 지난 28일에는 수사기관에 정식 신고했다.

현재 위믹스달러 교환과 관련 유동성 풀, 브리지, 일부 게임 블록체인 서비스는 중단된 상태다. 위믹스 재단은 과거 배포된 컨트랙트까지 전수 점검하고 위믹스달러와 연관성이 낮은 서비스부터 순차적으로 재개할 계획이다.

 

토요경제 / 황세림 기자 hsr@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]