[서울=뉴스핌] 정승원 기자 = 위메이드의 블록체인 플랫폼 위믹스(WEMIX)가 1년 만에 보안 사고를 겪으면서 가상 자산인 위믹스를 운영하는 위믹스 재단과 위메이드 그룹의 보안 관리 체계가 도마에 올랐다.

특히 이번 사고는 토큰 발행과 교환을 자동으로 수행하며 블록체인 시스템을 운영하도록 지원하는 프로그램인 스마트컨트랙트의 허점을 악용한 사례로 위믹스의 개발 및 보안 관리체계에 대한 전반적인 점검이 필요하다는 지적이 나온다.

31일 위믹스 재단에 따르면 지난 26일 오후 6시 17분 위믹스 달러(WEMIX$) 관련 컨트랙트의 오너 권한이 탈취돼 위믹스가 비정상적으로 발행되고 USDC.e가 외부로 반출된 사실이 확인됐다.

공격자는 약 77억원 상당의 위믹스달러 약 522만5525개 부정 발행했고 이 중 약 72만3244개(약 10억원)를 외부로 이전했다. 일반 위믹스 코인 3만4752개도 이전된 것으로 나타났다.

◆ 2022년 업그레이드 과정서 취약점 발생...4년 간 발견 못 해

위믹스 재단은 자체 조사를 통해 이번 사고가 위믹스 내부의 시스템 침해나 관리자 개인키 유출이 아닌 블록체인에 공개된 스마트 컨트랙트의 결함을 이용한 공격으로 파악했다. 조사에 따르면 이번 사고는 2022년 스마트컨트랙트 업그레이드 과정에서 발생한 코드 취약점이 원인이었다.

업그레이드 과정에서 원래 한 번만 등록할 수 있어야 하는 관리자 권한을 누구나 다시 등록할 수 있는 허점이 생겼고 위믹스 재단은 이를 이번 해킹 때까지 발견하지 못했다. 허점이 발생한 것이 2022년 11월 업그레이드인 점을 고려할 때 4년에 가까운 시간 동안 취약점을 파악하지 못한 것이다.

공격자는 이러한 코드의 취약점을 이용해 관리자 권한을 탈취한 뒤 위믹스 달러를 부정 발행했다.

◆ "해킹 이후 보안체계 강화"...'ESG 보고서 무색' 취약점에 위메이드 책임론 

위메이드는 지난해 브릿지 해킹 피해 이후 디지털 자산 보안 체계를 전면 강화했다고 발표했다. 지난해 해킹 피해 이후 위메이드가 발간한 2025년 지속가능경영보고서에 따르면 잠재적인 보안 취약점을 원천 제거하기 위해 서비스 운영에 사용되는 모든 공개키와 개인키를 교체했으며 외부 침입을 막기 위해 네트워크 망분리도 강화했다. 주요 서버 접근 권한을 대폭 축소하고 업무별로 권한을 세분화하는 '최소 권한 원칙'도 적용했다.

또한 비밀번호 외에 추가 인증을 거치는 다중인증(MFA)을 주요 시스템 전반에 도입해 계정 탈취 위험을 줄였고 보안 모니터링 시스템을 고도화해 비정상적인 접근을 실시간으로 탐지·대응하는 상시 관제 체계도 구축했다고 발표했다.

하지만 이번 사고에서는 서버나 네트워크가 아닌 2022년 스마트컨트랙트 업그레이드 과정에서 발생한 코드 취약점이 4년 만에 악용되면서 문제가 발생했다. 지난해 해킹 피해 이후 위메이드가 마련한 보안 조치에도 취약점을 파악하지 못했던 것이다. 이에 위믹스 사업을 운영하는 위믹스 재단, 나아가 위메이드그룹 전반의 보안 관리 체계 미흡에 대한 책임론이 불가피할 것으로 전망된다.

위믹스 재단은 현재 운영 중인 컨트랙트를 포함해 과거에 배포돼 체인에 남아 있는 모든 컨트랙트를 대상으로 전수 점검을 진행하고 있다. 점검과 보완을 거쳐 안전성을 최대한 확보하고 부정 발행된 위믹스 달러가 생태계에 악영향을 미치지 않도록 필요한 조치를 취한다는 계획이다.

위메이드 관계자는 "이번 사고의 원인은 스마트컨트랙트의 결함이다. 위믹스달러 관련 시스템 업데이트 과정에서 1회만 허용돼야 할 관리자 권한 설정이 중복으로 가능해지는 결함이 발생했던 것으로 확인됐다"며 "현재 수사가 진행 중인 사안으로 세부 경위 및 사실관계는 수사 종료 후 정확하게 안내드릴 예정"이라고 전했다.

origin@newspim.com