ウィミックスで再び不正発行被害、23時間経ても原因特定できず

ウィメイド（Wemade）の暗号資産「ウィミックス」生態系で、ハッキングによる不正発行被害が発生した。被害規模は約77億ウォン（約8億6300万円）に上る。7月26日の発生から約23時間が経過した7月27日午後5時時点でも、管理者権限が奪われた詳しい経緯は確認できていない。昨年のハッキングと公表の遅れを受けて韓国の取引所で上場廃止となってから約1年で、再び安全性を巡る問題が浮上した。

7月27日にウィメイドが公表した内容によると、事故は7月26日午後6時17分ごろに起きた。初期調査では、ウィミックス生態系のステーブルコイン「ウィミックスドル（WEMIX$）」に関連するスマートコントラクトの管理者権限が奪われたとみている。ウィミックス側は追加の告知で調査結果を改めて案内するとしたが、権限奪取の経路は示せなかった。

不審な取引はオンチェーン分析家のスペクターが先に公表した。これを受け、ウィミックス側は約4時間後の7月26日午後10時ごろ、公式サイトでセキュリティー事故を正式に認めた。

攻撃者は奪った権限を使い、522万5525WEMIX$を無断で発行した。被害額は約77億ウォン（約8億6300万円）に相当する。調査では、攻撃者は無断発行したコインの一部をウィミックスとUSDC.eに交換した後、イーサリアムとBNBチェーンに移し、複数のウォレットに分散させたとみられる。

ウィメイドは攻撃者のウォレットと資金移動経路の追跡を進めている。海外の暗号資産取引所とステーブルコイン発行会社には、関連資産の凍結も要請した。被害拡大を防ぐためのサービス制限も続けている。ウィメイドはウィミックス3.0と外部ブロックチェーンをつなぐブリッジの運営を停止した。分散型取引所や流動性プールに加え、一部ゲームのブロックチェーン機能と非代替性トークン（NFT）機能も一時的に制限した。

ウィミックスは2025年2月にも、プレーブリッジ・ボルトから約865万ウィミックスが異常に流出するハッキング被害を受けた。当時の被害額は約90億ウォン（約10億900万円）と推定された。事故の公表が約4日遅れたことも問題となり、ウィミックスは2025年6月に韓国のウォン建て取引所で上場廃止となった。

ウィメイドはその後、認証キーの交換やセキュリティーシステムの再整備、外部専門機関による点検を進めたとしていた。だが、約1年で再び中核的な管理者権限が奪われ、セキュリティー強化策の実効性に疑問が出ている。

今回の事故は、ウィミックスの韓国取引所への再上場を目指す動きにも逆風となる可能性が大きい。パク・グァンホ会長が経営権売却を進める局面で大規模なセキュリティー事故が再発し、ウィミックス生態系の信頼回復とブロックチェーン事業の持続可能性にも重荷が増している。

ウィメイド関係者は「異常なトランザクションを認知した直後、被害拡大を防ぐための1次対応を取った」と説明した。そのうえで「調査を続けており、追加で確認した内容は後続の告知で案内する」と語った。

ユ・ジヒ記者 keephee@hankyung.com