管理権限侵害でWEMIX$約522万枚を不正発行
韓国のゲーム会社ウィメイド（Wemade）が展開するブロックチェーンエコシステム「ウィミックス（WEMIX）」のチームが、米ドルに価値を連動させたステーブルコイン「WEMIX$」に関するセキュリティインシデントの初期調査結果と対応状況を7月26日に公表した。
同チームによると、同日18時17分（UTC+9）、WEMIX$に関連するスマートコントラクトのオーナー権限が侵害され、約522万5,525WEMIX$が不正に発行されたという。オーナー権限とは一般に、スマートコントラクトの設定変更やトークン発行などを管理するための権限を指す。今回は、侵害された権限を通じてWEMIX$が不正に発行されたとのことだ。
初期調査では、不正発行されたWEMIX$は、WEMIX3.0のネイティブトークン「WEMIX」3万736枚と、ブリッジ版USDCの「USDC.e」72万4,198.27枚へ交換されたとのこと。交換された「USDC.e」は、異なるブロックチェーン間で資産を移動する仕組みであるブリッジを通じて、イーサリアム（Ethereum）およびBNBスマートチェーン（BNB Smart Chain：BSC）へ移動したという。その後、暗号資産「イーサリアム（ETH）」やステーブルコイン「テザー（USDT）」などに交換され、複数のアドレスへ分散されたとのことだ。また、一部の資産は中央集権型暗号資産取引所（CEX）へ入金されたことも確認された。
資産の追加流出を防ぐため、WEMIX3.0に接続するすべてのブリッジを一時停止したとのこと。あわせて、異なるブロックチェーン間でメッセージや資産をやり取りするクロスチェーン相互運用プロトコル「チェーンリンクCCIP（Chainlink CCIP）」と「プレイブリッジ（PLAY Bridge）」も一時停止した。
さらに、WEMIX-USDC.e、WEMIX-WEMIX$、CROW-WEMIX$、TIPO-WEMIX$、PLAY-WEMIX$の各流動性プールでの取引を一時停止するとともに、WEMIX財団が供給していた流動性を直ちに回収したとのこと。このほか、分散型取引所（DEX）「フェニックスDEX（PNIX DEX）」や「WEMIX$モジュール（WEMIX$ Module）」、関連バックエンドシステムも一時停止した。
また、一部ゲームのブロックチェーン連携コンテンツを点検・制限したほか、NFTマーケットプレイスでの取引・入札を停止し、ウィミックスプレイ（WEMIX PLAY）の関連機能にも保護措置を講じたとのことだ。
現在は、攻撃者に関連するアドレスやオンチェーンの資金移動を追跡するとともに、複数の暗号資産取引所とステーブルコイン発行者に資産凍結などの協力を要請しているとのこと。一部の取引所では、攻撃者に関連するアドレスの凍結措置が完了したという。
なお、約522万5,525WEMIX$という数字は不正発行量であり、そのまま被害額を示すものではない。今回公表された不正発行量や資金移動の内容はいずれも初期調査に基づく暫定的な情報であり、調査の進展に伴って数値や内容が変更される可能性があるとのことだ。オーナー権限が侵害された原因や経緯、正確な攻撃規模と影響範囲についても引き続き調査を進めており、今後、調査結果や復旧計画などを追加で公表する予定とのことだ。
Regarding the WEMIX$ Security Issue and Ongoing Investigation
— WEMIX (@WemixNetwork) July 26, 2026
A potential security issue involving a WEMIX$ contract has been identified and is being investigated.
Further details and response measures will be shared as soon as they are confirmed. Until then, please rely only… pic.twitter.com/VIib2J5ncs
参考：WEMIX
画像：PIXTA