위믹스(WEMIX) 스테이블코인 해킹 사건: 523만 달러 무단 발행, 페가 붕괴까지

해커는 어떻게 공격했나? — '접근 권한 통제'의 실패

이번 해킹은 복잡한 스마트 컨트랙트 코드의 취약점이나 플래시론(flash loan) 공격이 아닌, 가장 기본적이면서도 치명적인 '접근 권한 통제(access-control) 실패' 에 해당합니다 . 해커는 WEMIX$ 스마트 컨트랙트의 소유자(owner) 또는 관리자(admin) 권한을 탈취했습니다. 이 권한은 정상적인 경우 프로젝트 팀만이 토큰을 발행(mint)할 수 있도록 제한되어 있어야 하는데, 해커가 이 열쇠를 손에 넣은 것입니다 .

공격 과정은 다음과 같이 진행됐습니다.

1. 무단 발행(Minting): 해커는 탈취한 관리자 권한을 이용해 스마트 컨트랙트에 명령을 내려 약 523만 개의 새로운 WEMIX$ 토큰을 무에서 창조했습니다 .
2. 자산 교환(Swapping): 새로 발행된 토큰은 즉시 탈중앙화거래소(DEX)에서 다른 유동성 자산으로 교환됐습니다. 해커는 이를 30,736 WEMIX 토큰과 724,198.27 USDC.e로 변환했습니다 .
3. 브리징(Bridging) 및 인출(Extraction): 교환된 자산은 체인링크 CCIP(Chainlink CCIP)와 플레이 브리지(PLAY Bridge) 등의 프로토콜을 이용해 이더리움(Ethereum) 과 BNB 스마트체인(BNB Smart Chain, BSC) 으로 이동됐습니다 .
4. 현금화(Cashing Out): 목적지 체인에서 도난 자산 중 일부는 다시 ETH와 USDT로 교환되어 여러 주소로 분산 전송됐습니다. 중요한 점은 위믹스가 동결 조치를 취하기 전에 일부 자금이 이미 중앙화거래소(CEX) 에 도달했다는 것입니다 .

얼마나 피해를 입혔나? — 수치로 보는 해킹 규모

소식통마다 피해 규모를 다르게 보고하는 이유는 무단 발행된 토큰의 액면가와 해커가 실제로 현금화한 금액 사이에 차이가 있기 때문입니다.

• 무단 발행된 토큰의 액면가: 약 523만 달러 (약 76억 원)로, 스테이블코인의 의도된 1달러 페그 기준입니다 .
• 일부 거래소의 달러 환산액: 약 625만 달러 (약 87억 원)로, 해커가 교환한 자산의 가치를 포함한 수치입니다 .
• 해커가 실제로 인출한 금액: 해커는 무단 발행된 토큰을 교환하는 과정에서 약 72만 4000달러 상당의 자산(30,736 WEMIX, 724,198 USDC.e)만을 원래 네트워크 밖으로 빼내는 데 성공했습니다 .

이 중 72만 4000달러는 해커가 즉시 실현한 손실을 의미하며, 무단 발행 자체가 WEMIX$ 스테이블코인의 근본적인 신뢰를 무너뜨렸다는 점에서 더 큰 문제였습니다 .

시장 반응: 스테이블코인 붕괴와 TVL 추락

해킹 소식에 시장은 즉각적이고 강력하게 반응했습니다.

• WEMIX$ 가격 폭락: 1달러에 페깅되어 있던 WEMIX$의 가격이 0.0008달러로 추락하며 사실상 가치를 잃었습니다. 이는 민간 발행 스테이블코인의 보안 취약성을 극명하게 보여주는 사례로 지목됐습니다 .
• 위믹스파이 TVL 66% 급감: 위믹스 생태계의 디파이(DeFi) 허브인 위믹스파이(Wemixfi)의 TVL(총예치자산)이 사고 직후 66% 나 감소했습니다. 사용자들이 자금을 회수하기 위해 대거 유동성 풀을 떠난 결과입니다 .

두 번째 대형 사고: 2025년 2월 해킹과의 연관성

이번 2026년 7월 사고는 위믹스의 17개월 만의 두 번째 대형 보안 사고이며, 두 사건의 패턴은 놀랍도록 유사합니다.

2025년 2월 플레이 브리지 해킹:
2025년 2월 28일, 해커가 플레이 브리지 볼트(PLAY Bridge Vault) 를 공격해 약 865만 개의 WEMIX 토큰(당시 시세로 약 610만~620만 달러)을 탈취했습니다 . 원인은 인증 키 유출이었습니다. 개발자가 실수로 인증 키를 공유 코드 저장소에 업로드했고, 해커가 이를 2개월 후에 발견해 15번에 걸쳐 출금 트랜잭션을 실행한 것입니다 . 위믹스 재단은 이 사실을 며칠 뒤인 3월 4일에야 공개해 큰 비판을 받았습니다 .

공통점: '접근 권한 통제'의 실패

두 사고의 공통점은 스마트 컨트랙트의 코드 결함이 아닌 '접근 권한 통제 실패' 라는 점입니다 .

• 2025년: 유출된 인증 키를 통해 공격자가 브리지 볼트에 접근.
• 2026년: 탈취된 관리자 권한을 통해 공격자가 스테이블코인 발행 기능에 접근.

이 패턴은 위믹스의 내부 보안 관행과 키 관리 시스템에 근본적인 약점이 있음을 시사합니다. 재발한 사고는 국내 가상자산 거래소와 규제 당국의 압박을 더욱 거세게 만들었으며, 국내 거래소 재상장 가능성도 더욱 어두워졌습니다 .