WEMIX、ステーブルコインがハッキングされ5.23百万ドル相当不正鋳造—約18ヶ月で2度目の重大インシデント

2026年7月26日、韓国のブロックチェーン・ゲーム企業ウィミード（Wemade）が運営するWEMIXブロックチェーンで、重大なセキュリティ侵害が発生しました。 攻撃者はWEMIXエコシステムのドルペッグ・ステーブルコイン「WEMIX$」のスマートコントラクトにおける管理者権限を奪取。これにより、約523万トークン（額面約5.2百万～6.25百万ドル）が不正に発行されました。攻撃者はこの不正発行トークンを換金し、最終的に約72.4万ドル相当の資産（30,736 WEMIXトークンおよび724,198.27 USDC.e）を外部に移動させることに成功しました。本インシデントは、2025年2月のPLAY Bridgeハッキング（被害額約620万ドル超）に続く、WEMIXにとって約1年半の間での2度目の重大なセキュリティ障害となります。

不正鋳造の規模：いくらが作られたのか？

各ソースは、攻撃者が約522万～523万WEMIX$トークンを無許可で発行した点で一致しています。この不正発行の価値は、ソースによって報告が異なります。これは、額面上の価値と攻撃者が実際に換金できた金額の違いを反映しています。

• 不正発行されたトークンの額面価値：ステーブルコインの意図された1ドルペッグに基づき、約5.2百万ドル（約76億ウォン）。
• 一部取引所でのドル建ての値：換金された資産価値を含む、約6.25百万ドル（870億ウォン）。
• 実際の換金額：攻撃者は不正発行トークンをスワップし、30,736 WEMIXと724,198.27 USDC.eを獲得。インシデント発生時の価値で約72.4万ドルに相当します。

この72.4万ドルという金額が攻撃者が実際にネットワーク外に移動させた額であり、直接的な実現損失を表しています。しかし、不正鋳造自体がWEMIX$ステーブルコインの基盤を根本から不安定化させたと言えます。

エクスプロイトの仕組み：アクセスコントロールの失敗

2026年7月のWEMIXハッキングは、高度なスマートコントラクトのコードエクスプロイトやフラッシュローン攻撃ではありませんでした。これは、根本的なアクセス権限（アクセスコントロール）の侵害です。攻撃者はWEMIX$のスマートコントラクトにおけるコントラクトオーナーまたは管理者権限を侵害しました。これにより、本来プロジェクトチームのみに制限されるべきトークンのミント（発行）機能を呼び出す管理者権限を奪取したのです。

一度鍵を奪取すると、攻撃者の手順は比較的単純でした。

1. ミント（不正発行）：攻撃者は不正に取得した管理者権限を用いて、スマートコントラクトに約523万の新規WEMIX$トークンを無から生成するよう指示しました。
2. スワップ（交換）：不正発行されたトークンは即座に分散型取引所（DEX）で他の流動性の高い資産に交換されました。攻撃者はこれらを30,736 WEMIXトークンと724,198.27 USDC.eに変換しました。
3. ブリッジと資金引き出し：変換された資産は、Chainlink CCIPやPLAY Bridgeなどのプロトコルを介して、EthereumおよびBNB Smart Chain（BSC） の複数のブロックチェーンネットワークにブリッジされました。
4. 現金化：これらの転送先チェーン上で、盗まれた資金の一部はさらにETHやUSDTに交換され、複数のアドレスに分散されました。重要な点として、WEMIXが凍結措置を取る前に、一部の資金は中央集権型取引所（CEX） に到達していました。

関与した資産とネットワーク

このエクスプロイトには、直接的および間接的に以下の資産とブロックチェーンネットワークが関与しました。

資産	ハッキングにおける役割
WEMIX$	不正に発行されたドルペッグ・ステーブルコイン。
WEMIX	WEMIXネットワークのネイティブトークン。30,736トークンが流出。
USDC.e	ブリッジ版USDC。724,198.27 USDC.eが引き出される。
Ethereum	盗まれた資金のブリッジ先となる主要チェーン。
BNB Smart Chain（BSC）	盗まれた資金のブリッジ先となる第2のチェーン。

WEMIXによる即時対応

異常なトランザクションを検知した後、WEMIXとその親会社であるウィミードは、被害を封じ込めるため一連の緊急措置を講じました。

• 全ブリッジの停止：WEMIX3.0ブリッジ、Chainlink CCIP、PLAY Bridgeがすべて一時停止され、これ以上の資金移動を防ぎました。
• 流動性プール取引の停止：WEMIXのDeFiプラットフォーム「Wemixfi」上の影響を受けた流動性プールでの取引が停止されました。
• 残存資金の凍結：チームは財団の流動性を引き出し、残りの資産を確保しました。ウィミードの内部通知は「資産保護措置を開始した」と述べています。
• 取引所への口座凍結要請：WEMIXは攻撃者のウォレットを特定し、中央集権型取引所に対して関連するアカウントを凍結するよう要請し、攻撃者の現金化を防ごうとしました。
• 影響を受けたサービスの停止：調査が行われている間、ネットワーク全体のサービスが一時停止されました。

市場への影響：ステーブルコインの崩壊とTVLの暴落

ハッキングに対する市場の反応は迅速かつ深刻で、数分のうちに数十億ウォン相当の時価総額が消失しました。

• WEMIX$ステーブルコインの価格暴落：最も劇的な影響はWEMIX$ステーブルコイン自体に現れました。1.00ドルでの取引を意図されていたこのトークンは、0.0008ドルにまで暴落し、事実上ペッグを完全に喪失、ほぼ無価値になりました。この出来事は、民間発行のステーブルコインに内在するセキュリティ脆弱性の代表例として見られています。
• WemixfiのTVL急落：プロジェクトのDeFiハブであるWemixfiの預かり資産総額（TVL）は、インシデント直後に66％も急減しました。これはユーザーが殺到して流動性を引き出したためです。
• 規制当局の監視強化：このインシデントにより、韓国の規制当局や取引所からの厳しい監視が再燃しました。WEMIXは2025年のハッキング後に主要な国内取引所から上場廃止となっており、今回の新たな侵害により、再上場の可能性はさらに困難なものとなりました。

2度目の重大インシデント：2025年2月のハッキングとの関連性

今回の2026年7月のインシデントは、WEMIXにとって18ヶ月足らずの間に2度目の重大なセキュリティ障害であり、そのパターンは驚くほど類似しています。

2025年2月のPLAY Bridgeハッキング：
2025年2月28日、攻撃者はPLAY Bridge Vaultを悪用し、当時の価値で約620万ドル相当の865万以上のWEMIXトークンを盗みました。根本原因は認証キーの漏洩でした。開発者が誤って認証キーを共有リポジトリにアップロードし、攻撃者がそれを2ヶ月後に発見し、15回の出金トランザクションを実行しました。WEMIX財団はこの侵害の公表を数日間遅らせ（3月4日に発表）、これに対して大きな批判が集まりました。

共通点：アクセスコントロールの失敗

2026年7月のWEMIX$ステーブルコインハッキングは、2025年のPLAY Bridgeハッキングと同じ根本的な弱点を共有しています。すなわち、どちらもスマートコントラクトのロジックバグではなく、アクセスコントロールの失敗だったということです。

• 2025年：漏洩した認証キーにより、攻撃者がブリッジの金庫にアクセス。
• 2026年：侵害された管理者権限により、攻撃者がステーブルコインのミント機能にアクセス。

このパターンは、WEMIXの内部セキュリティ慣行と鍵管理に系統的な弱点があることを示しており、単発的なインシデントではないことを示唆しています。再発を受けて、韓国の規制当局、取引所、そして広範な暗号資産コミュニティからの圧力が強まっており、プロジェクトのインフラを保護する能力に疑問が投げかけられています。WEMIXの将来と国内取引所への再上場の可能性は、この根幹的なセキュリティ問題が解決されたことを証明できるかどうかにかかっています。