"美 거래소 상장 후 얼마나 지났다고"…위메이드 위믹스, 또 해킹 피해

위믹스달러 컨트랙트 오너 권한 탈취

72만 USDC.e 외부 반출…10억원 상당

경기 성남시 위메이드 사옥의 위메이드와 위믹스 로고. ⓒ연합뉴스

위메이드가 발행한 가상자산 '위믹스'에서 수십억원대 해킹 피해가 발생했다. 미국 가상자산 거래소 크라켄에 상장된 지 18일 만에 발생한 보안 사고다. 위믹스에서는 1년 전에도 해킹 사고가 발생한 만큼 위메이드의 보안 체계가 도마에 오르게 됐다.

위믹스팀은 27일 홈페이지 공지를 통해 전날 오후 6시 17분 위믹스달러 관련 스마트 컨트랙트(블록체인 기반 계약 체결)의 오너 권한이 탈취됐다고 밝혔다. 공격자는 이를 이용해 522만5525 '위믹스달러(약 77억원)'를 비정상적으로 발행했다. 무단 발행 자산 중 외부 반출이 확인된 물량은 약 10억원 상당이다. 이들은 3만736 위믹스와 72만4198.27 USDC.e로 전환됐다.

USDC.e는 이더리움 기반 스테이블코인 USDC를 다른 블록체인으로 옮겨 사용할 수 있도록 옮겨놓은 자산이다. 공격자는 USDC.e를 블록체인간 자산 연결 통로인 '브리지'를 거쳐 이더리움과 BNB스마트체인으로 이동한 뒤 이더리움과 테더 등으로 교환하고 여러 지갑으로 분산했다. 이동한 자산 일부는 중앙화 거래소로 유입된 것으로 확인됐다.

위믹스팀은 "현재 공격자 지갑과 자금 이동 경로를 추적하고 있으며 조사 결과에 따라 수치가 달라질 수 있다"고 밝혔다. 정확한 권한 탈취 경위는 아직 확인되지 않았으며, 담당 부서와 외부 전문가가 공격 경로를 조사하고 있다는 설명이다. 동일하거나 연관된 컨트랙트에 대한 전수 점검도 벌이고 병행 중이다.

추가 피해를 막기 위한 서비스 제한도 이어졌다. 위믹스3.0 내·외부 브리지 가운데 체인링크 CCIP 운영을 중단하고 PLAY 브리지를 일시 정지했다. 위믹스-USDC.e와 위믹스-위믹스달러 등 유동성 풀 거래를 막고 재단이 공급한 유동성도 회수했다.

위믹스달러 모듈과 PNIX 탈중앙화거래소 등 관련 서비스와 백엔드 시스템도 멈췄다. 일부 게임의 블록체인 연동 콘텐츠와 대체불가능토큰 마켓 거래·입찰 기능에도 제한 조치를 적용했다.

위믹스팀은 "복수의 글로벌 거래소와 스테이블코인 발행사에 자산 동결을 요청했으며, 일부 거래소는 공격자 관련 주소에 대한 동결 조치를 마쳤다"고 밝혔다.

위믹스 생태계에서는 지난해에도 브리지 시스템을 통해 약 90억원 상당의 위믹스가 외부로 빠져나가는 사고가 발생했다. 당시 사고 공지가 늦었다는 논란까지 불거지면서 국내 원화 거래소의 거래지원 종료로 이어졌다.

이후 위믹스팀은 보안 체계 재정비를 내세운 뒤 위믹스를 미국 가상자산 거래소 크라켄에 상장하는 데 성공했으나, 1년여 만에 발행 권한이 다시 탈취되면서 생태계 내부 통제와 보안 강화 조치가 재차 논란이 될 전망이다.