최근 위메이드의 가상화폐 '위믹스(WEMIX)' 해킹 사고의 원인은 블록체인상 거래 허점을 노린 공격으로 나타났다. 이번 해킹으로 무단 발행돼 유출된 위믹스달러는 약 522만5525개로, 피해 규모는 약 77억원이다.
30일 위메이드 자회사 위믹스 재단은 홈페이지를 통해 보안 사고 원인 분석 결과와 대응 상황을 공개했다. 위믹스는 보안 사고 경위에 대해 "블록체인상 거래 허점을 노린 공격으로 관리자 권한이 제3자에게 이전됐다"고 밝혔다.
위믹스 측은 이번 사고가 회사 내부 시스템이 침해나 관리자 비밀번호(개인키) 유출이 아니라고 설명했다.
공격자는 위믹스달러(WEMIX$)의 가격을 일정하게 유지하는 DIOS, 담보 자산과 1대1로 교환해 주는 AMA 프로그램 두 개의 '스마트컨트랙트' 시스템의 취약점을 공략했다. 스마트컨트랙트는 미리 정해둔 조건이 충족되면 자동으로 실행되는 프로그램이다.
DIOS와 AMA는 관리자 주소를 등록하는 초기화 함수를 실행하는데, 2022년 11월 업그레이드 후 이 함수의 실행 제한 조건이 '최초 1회만 허용'에서 '2회까지 허용'으로 바뀌었다.
해당 초기화 함수를 포함한 컨트랙트는 외주 개발사가 만든 것으로, 별도의 접근 권한 제한이 없이 누구나 실행할 수 있는 상태로 유지된 것으로 나타났다.
공격자는 2회차 초기화 함수를 호출해 두 컨트랙트의 관리자 주소를 자신이 만든 공격용 컨트랙트로 바꾼 뒤 발행과 교환 기능을 호출할 수 있는 권한을 자신에게 부여했다. 행 대금과 수수료 수령 주소도 자신의 것으로 변경했다.
공격자는 이를 악용해 약 77억원 상당의 위믹스달러 약 522만5525개 부정 발행했고, 이 중 약 72만3244개(약 10억원)를 외부로 이전했다. 이와 별개로 일반 위믹스 코인 3만4752개도 이전된 것으로 나타났다.
위믹스 재단은 "일부 게임 토큰에서 위믹스달러와 연관된 정황이 확인되어 관련 트랜잭션을 분석하고 있다"라며 "공격자 주소를 식별해 자금이 유입된 거래소에 블랙리스트 등재를 요청하고, 발행 권한을 회수해 추가 발행을 차단했다"라고 밝혔다.
회사는 지난 28일 수사기관에 정식 신고를 마치고 수사에 협조하고 있다.