[비즈니스포스트] 최근 발생한 위메이드의 가상자산 ‘위믹스’ 해킹 사고의 원인이 자율 거래 프로그램인 ‘스마트 계약’의 코드 허점을 노린 외부 공격이었던 것으로 나타났다. 

위메이드의 자회사 위믹스 재단은 30일 공식 공지를 통해 지난 26일 발생한 위믹스달러 무단 발행 사고의 원인 분석 결과를 발표했다. 이번 해킹으로 무단 발행돼 유출된 위믹스달러는 약 522만5525개로, 피해액은 약 77억 원 규모다.
 
위믹스 측은 이번 사고가 회사 내부 시스템이 뚫렸거나 최고 관리자의 비밀번호(개인키)가 유출되어 발생한 것이 아니라고 전했다. 

조사 결과에 따르면, 공격자는 26일 일요일 저녁 두 개의 스마트 계약 소유권을 장악했다. 스마트 계약이란 미리 정해둔 조건이 충족되면 자동으로 실행되는 프로그램이다. 

공격자는 블록체인상에 공개된 프로그램 중 가격 안정성을 유지하는 ‘DIOS’와 담보 자산을 교환해주는 ‘AMA’ 프로그램의 코드 취약점을 노렸다.

지난 2022년 11월 시스템을 개편하는 과정에서 코드 수정 실수가 발생했고, 이에 누구나 실행할 수 있게 된 초기화 기능을 공격자가 다시 가동해 관리자 권한을 자신에게 부여했다.

이 과정에서 522만5525개의 위믹스달러가 무단으로 발행됐으며, 공격자는 이를 위믹스와 다른 가상자산(USDC.e) 등으로 교환했다. 이번 해킹으로 유출된 금액은 약 77억 원에 이른다.

회사 측은 “내부 시스템 침해나 관리자 비밀번호 유출과는 무관하다”며 “과거 외부 개발 업체가 배포했으나 지금은 쓰지 않던 미사용 프로그램의 허점을 악용한 공격”이라고 설명했다.

현재 위믹스는 재단 차원의 비상 대응을 통해 무단 발행 권한을 취소하고, 지난 28일 경찰 등 사법 당국에 정식 고발장을 접수했다. 

재단 측은 블록체인 프로그램 전반에 대한 포괄적인 보안 검토를 거쳐 안전성이 확보된 서비스부터 순차적으로 복구할 방침이다. 

지난해 3월에도 위믹스는 약 90억 원 규모의 해킹 피해를 입었다. 이후 국내 주요 가상자산 거래소 협의체인 닥사로부터 거래 지원 종료(상장 폐지) 조치를 받는 등 사건을 겪었다. 정희경 기자