국내 첫 게임사 스테이블코인서 보안사고...원화코인도 해킹우려
위메이드가 국내 게임사 최초로 발행한 달러 연동 스테이블코인 위믹스달러(WEMIX$)에서 약 80억 원 규모의 토큰이 무단 발행되는 해킹 사고가 발생했다. 스테이블코인 관련 컨트랙트의 관리 권한이 탈취된 것으로 파악되면서 민간 발행 스테이블코인의 보안 리스크가 다시 도마 위에 올랐다.
27일 위메이드에 따르면 전날 오후 6시 17분께 위믹스달러 관련 컨트랙트의 관리 권한이 탈취돼 총 522만 달러(약 76억 원) 상당의 위믹스달러가 무단 발행됐다. 위믹스달러는 미국 달러와 일대일 가치 연동을 목표로 위메이드의 싱가포르 법인 위믹스 재단(WEMIX PTE. LTD.)이 발행·운영하는 스테이블코인이다.
공격자는 무단 발행한 위믹스달러를 탈중앙화거래소에서 위믹스(WEMIX) 3만 736개와 USDC.e 72만 4198개로 교환한 것으로 나타났다. USDC.e는 달러 스테이블코인 유에스디코인(USDC)을 다른 블록체인으로 옮겨 사용할 수 있도록 만든 스테이블코인이다.
이후 공격자는 확보한 USDC.e를 브리지를 통해 이더리움과 BNB체인으로 이동시킨 뒤 이더리움(ETH)과 테더(USDT) 등으로 바꿔 여러 지갑에 분산 송금했다. 일부 자산은 중앙화거래소로 유입된 것으로 파악됐다. 공격자가 실제 외부로 반출한 자산을 기준으로 현재까지 피해 규모는 약 72만 달러(약 10억 원)로 추산된다.
위메이드는 이상 거래를 확인한 직후 관련 브리지 운영과 위믹스달러 모듈을 중단하고 유동성 풀에서 유동성을 모두 회수했다고 밝혔다. 국내외 가상화폐거래소와 스테이블코인 발행사에도 공격자 지갑과 관련 자산의 동결을 요청했으며 현재 자금 이동 경로를 추적하고 있다고 설명했다. 위메이드 관계자는 “현재는 추가적인 위믹스달러 무단 발행이 불가능한 상태”라고 말했다.
이번 사고는 이용자 지갑의 개인키가 탈취된 일반적인 해킹과 달리 스테이블코인 발행을 통제하는 컨트랙트 권한이 공격받았다는 점에서 파장이 크다는 분석이 나온다. 발행 권한을 확보한 공격자가 실제 준비자산과 무관하게 토큰을 대량 발행할 수 있기 때문이다. 준비자산의 안정성뿐 아니라 발행 권한을 관리하는 스마트컨트랙트와 내부 통제 체계가 스테이블코인의 신뢰를 좌우한다는 지적이다.
위믹스달러는 그동안에도 달러 연동 가격이 흔들리는 디페깅 현상을 여러 차례 겪으며 안정성 논란에 휩싸였다. 달러와 일대일 가치를 유지해야 하는 스테이블코인이 목표 가격을 밑돌면서 준비자산의 건전성과 상환 구조에 대한 의문이 제기돼 왔다. 여기에 발행 권한 탈취 사고까지 발생하면서 위믹스달러의 신뢰도에 추가적인 타격이 불가피할 것으로 보인다.
위믹스 생태계에서 대규모 보안 사고가 발생한 것도 이번이 처음은 아니다. 앞서 위믹스는 지난해 브리지 해킹으로 약 90억 원 상당의 위믹스(WEMIX)를 탈취당했다. 당시 해킹 사실을 외부에 뒤늦게 공개한 점까지 문제가 되면서 국내 디지털자산거래소 공동협의체 닥사(DAXA)는 위믹스에 대한 거래 지원을 종료했다.
업계에서는 이번 사고가 정부와 국회가 추진 중인 원화 스테이블코인 제도화 논의에도 영향을 미칠 것으로 보고 있다. 스테이블코인 제도화 과정에서 준비자산의 안정성뿐 아니라 발행·소각 권한을 관리하는 스마트컨트랙트의 보안성과 발행사의 내부 통제 체계를 함께 검증해야 한다는 목소리가 커질 것으로 전망된다.
블록체인 업계의 한 관계자는 “브리지와 탈중앙화거래소를 통해 자산이 짧은 시간 안에 다른 블록체인으로 이동할 수 있는 만큼 사고 발생 직후 관련 자산을 동결하고 회수할 수 있는 업계 공동 대응 체계도 필요하다”고 지적했다.
출처: Decenter