The root cause analysis of the WEMIX$ security incident that occurred on July 26 has been completed. The WEMIX Team sincerely apologizes for the concern and inconvenience caused to users. The identified cause of the incident, response measures taken, and status of the investigation are provided below.1. Incident OverviewAt 18:17 KST on Sunday, July 26, 2026, ownership of two smart contracts was transferred to an unauthorized third party. The affected contracts were DIOS, designed to maintain the price stability of WEMIX$, and AMA, designed to redeem WEMIX$ for collateral assets at a 1:1 ratio.In a single transaction, the attacker deployed a malicious contract, took control of both contracts, and executed nine cycles of flash loans and swaps, resulting in the unauthorized minting of 5,225,524.9997 WEMIX$.This incident did not involve a compromise of WEMIX’s internal systems or the exposure of an administrator’s private key. Instead, the attacker exploited a flaw in smart contracts publicly deployed on-chain.2. Root CauseDIOS and AMA were originally developed using an upgradeable proxy pattern, allowing their implementation logic to be replaced for future improvements. Under the proxy structure, the owner address is registered through the initialize function immediately following the initial deployment. At the time of deployment in October 2022, the initialize function was executed once as intended, and the owner privileges were properly configured.The issue arose during the third upgrade in November 2022. At that time, a code change modified the execution restriction on the initialize function from permitting only the initial call to permitting a second call.Under the proxy structure, upgrading the implementation code did not automatically re-execute the initialize function. As a result, the initialization count remained at one, and no separate access control was applied to the second initialize call, leaving a vulnerability that allowed any network participant to call the initialize function a second time and register a new owner address. The contracts were developed and deployed by an external development vendor, and it is currently being verified whether the work was carried out in accordance with proper procedures.The DIOS and AMA contracts were no longer in use under the WEMIX$ termination plan. The attacker exploited the vulnerability in these contracts.The attacker called the initialize function a second time and changed the owner address of each contract to the address of a malicious contract they had deployed. Using the ownership obtained, the attacker authorized the malicious contract to call the mint and redeem functions and redirected issuance proceeds and fees to attacker-controlled addresses. The attacker then alternated between the AMA redeem function and the DIOS price-adjustment minting logic to mint WEMIX$ without authorization.As this matter is currently under active investigation, there are limits to the details that can be shared at this stage. More information will be provided once the investigation concludes.3. Scope of ImpactThe confirmed amounts of USDC.e and WEMIX transferred by the attacker are as follows.USDC.e transferred out by the attacker ① : 723,244.4936 USDC.eWEMIX transferred out by the attacker ② : 34,752.3199 WEMIXIn addition, transactions involving game tokens associated with WEMIX$ are also being analyzed. Further details will be shared once the extent of the impact and the scope of compensation are confirmed.4. Response Measures TakenThe incident was first detected after internal monitoring identified abnormal movements in game token prices. To prevent further impact, immediate measures were taken across the relevant contracts, bridges, and services.Access and Minting RestrictionsThe attacker’s addresses were identified, and the exchanges that received the funds were asked to blacklist them.WEMIX$ minting authority was revoked to prevent further minting.Liquidity PoolsLiquidity provided by the WEMIX Foundation was withdrawn from the WEMIX-USDC.e and PLAY-WEMIX$ pools.WEMIX$-related liquidity pools, including WEMIX-WEMIX$, CROW-WEMIX$, TIPO-WEMIX$, and PLAY-WEMIX$, were temporarily suspended.USDC.e-related liquidity pools for WEMIX, CROW, CROM, and DSB were temporarily suspended.Bridges and TradingChainlink CCIP was temporarily suspended in coordination with Chainlink, blocking bridging into and out of WEMIX3.0.PLAY Bridge was temporarily suspended.WEMIX$ swap service module was temporarily suspended.PNIX DEX was temporarily suspended.Games and ServicesBlockchain-integrated game content was temporarily suspended.Token displays on WEMIX PLAY were disabled, the Webshop was placed under maintenance, and NFT Marketplace bidding was disabled.During this process, some global exchanges temporarily suspended WEMIX deposits and withdrawals as a precautionary measure. Information supporting the safety review has been provided to the exchanges, and discussions are underway regarding the resumption of deposits and withdrawals.5. Investigation and Asset RecoveryA formal report was filed with the relevant law enforcement authorities at 13:00 KST on Tuesday, July 28, 2026, and an investigation is underway.The WEMIX Team continues to provide the investigating authorities with the on-chain analysis data collected to date and is cooperating fully to support the investigation. The team is also continuing its own analysis of the circumstances surrounding the incident and the movement of funds.The team requested the exchanges that received the funds to freeze the relevant assets and cooperate with the investigation, and some associated addresses have already been frozen. A freeze request was also submitted to the relevant stablecoin issuer. Addresses holding the remaining funds are being continuously monitored, and the relevant exchanges have been alerted to any further movement. The team is making every effort to recover the funds, including through international cooperation led by law enforcement authorities.6. Prevention of Recurrence and Service ResumptionThe WEMIX Team is conducting a comprehensive review of all smart contracts currently in operation, as well as all previously deployed contracts that remain on-chain. The review and any necessary remediation will be carried out to strengthen security to the fullest extent possible. Necessary measures will also be taken to prevent the WEMIX$ minted without authorization from adversely affecting the ecosystem.Services will be restored in phases after safety reviews, beginning with game services that do not use WEMIX$. Blockchain content for Legend of YMIR, which has limited association with WEMIX$, is scheduled to resume later today. The WEMIX Team will make every effort to ensure that services are restored as safely as possible. A more detailed plan will be shared once finalized.The WEMIX Team once again apologizes to users. Any additional findings will be shared without delay.[WEMIX Official Channels]WEMIX Official Website : wemix.com | wemix.com/communityCommunity : X(Twitter) | Telegram | CoinMarketCap | LinkedIn | Binance Square | Facebook(WEMIX Games)WEMIX PLAY Feed : WEMIX PLAY

WEMIX$ Security Incident Findings and Response Update

안녕하세요, WEMIX 팀입니다.지난 7월 26일 발생한 WEMIX$ 보안 사고의 원인 분석을 마쳤습니다. 이용자분들께 우려와 불편을 드린 점 깊이 사과드립니다. 확인된 사고 원인과 대응 경과, 수사 의뢰 진행 상황을 안내드립니다.1. 사고 개요2026년 7월 26일(일) 18시 17분(KST), WEMIX$의 가격을 일정하게 유지하는 DIOS와, WEMIX$를 담보 자산과 1대 1로 교환해주는 AMA, 두 개의 스마트컨트랙트에서 관리자 권한이 제3자에게 이전되었습니다. 공격자는 하나의 트랜잭션 안에서 공격용 컨트랙트를 배포하고 두 컨트랙트의 권한을 확보한 뒤, 플래시론과 스왑을 아홉 차례 반복해 WEMIX$ 5,225,524.9997개를 부정 발행했습니다.이번 사고는 위믹스의 내부 시스템 침해나 관리자 개인키 유출이 아닌, 블록체인에 공개된 스마트컨트랙트의 결함을 이용한 공격입니다.2. 확인된 사고 원인DIOS와 AMA는 최초 배포 당시 기능 개선을 염두에 두고 로직 교체가 가능한 프록시(Proxy) 구조로 설계되었습니다. 프록시 구조에서는 최초 배포 직후 초기화 함수(initialize)를 실행할 때 관리자 주소(owner)가 등록되는데, 2022년 10월 배포 당시에는 초기화 함수가 정상적으로 1회 실행되어 관리자 권한이 올바르게 설정된 상태였습니다.문제는 2022년 11월에 진행된 세 번째 업그레이드 과정에서 발생했습니다. 당시 코드 수정으로 초기화 함수 실행 제한 조건이 '최초 1회만 허용'에서 '2회차 실행까지 허용'으로 변경되었습니다. 프록시 특성상 구현 코드를 개편하더라도 초기화 함수가 자동으로 재실행되지는 않기 때문에, 초기화 이력은 기존의 1회에 멈춰 있었습니다. 게다가 이 2회차 초기화 호출에 별도의 접근 권한 제한을 두지 않으면서, 결과적으로 네트워크상의 누구나 2회차 초기화 함수를 직접 호출해 관리자 주소를 새로 등록할 수 있는 취약점이 남게 되었습니다. 해당 컨트랙트는 외주 개발사가 개발·배포한 것으로, 작업이 정상적인 절차로 진행되었는지 확인 중에 있습니다.DIOS와 AMA 컨트랙트는 WEMIX$의 종료 계획에 따라 사용하지 않고 있었으며, 공격자는 상기 언급된 컨트랙트의 취약점을 공격했습니다.공격자는 2회차 초기화 함수를 호출해 두 컨트랙트의 관리자 주소를 자신이 만든 공격용 컨트랙트로 변경했습니다. 이어서 확보한 관리자 권한으로 발행과 교환 기능을 호출할 수 있는 권한을 자신에게 부여하고, 발행 대금과 수수료를 수령할 주소도 자신의 주소로 변경했습니다. 그 뒤 AMA의 교환 기능과 DIOS의 가격 조정용 발행 로직을 교대로 호출하는 방식으로 WEMIX$를 부정 발행했습니다.현재 관련 수사가 진행 중인 사안으로 세부 정보 제공에 한계가 있는 점 양해 부탁드립니다. 수사 종료 후 정확한 경위와 사실관계를 바탕으로 보다 구체적인 내용을 공유해 드리겠습니다.3. 피해 규모현재까지 확인된 피해 규모는 다음과 같습니다.공격자가 외부로 이전한 자산 ① : 723,244.4936 USDC.e공격자가 외부로 이전한 자산 ② : 34,752.3199 WEMIX추가로 일부 게임 토큰에서 WEMIX$와 연관된 정황이 확인되어 관련 트랜잭션을 분석하고 있습니다. 피해 및 보상 규모가 확정되면 추가로 안내드리겠습니다.4. 대응 경과게임 토큰 가격의 비정상적인 움직임이 내부 모니터링에 포착되어 사고를 최초 인지했고, 추가 피해 확산을 막기 위해 관련 컨트랙트와 브릿지, 서비스 전반에 걸쳐 다음 조치를 진행했습니다.권한·발행 차단공격자 주소 식별 및 자금 유입 거래소에 블랙리스트 요청WEMIX$ 발행 권한 회수 — 추가 발행 차단유동성·풀재단이 공급한 유동성 회수 (WEMIX-USDC.e, PLAY-WEMIX$)WEMIX$ 관련 유동성 풀 일시 중지 (WEMIX-WEMIX$, CROW·TIPO·PLAY-WEMIX$)USDC.e 관련 유동성 풀 일시 중지 (WEMIX, CROW, CROM, DSB)브릿지·거래Chainlink 협조로 CCIP 브릿지 중단 — WEMIX3.0 내·외부 브릿징 차단플레이 브릿지 중지WEMIX$ 교환 모듈 서비스 중지PNIX DEX 서비스 중지게임·서비스게임 내 블록체인 콘텐츠 중단WEMIX PLAY 토큰 표시 중단, 웹샵 점검 전환, NFT 마켓플레이스 비딩 차단이 과정에서 일부 해외 거래소가 예방 차원에서 WEMIX 입출금을 일시 중단했습니다. 해당 거래소에는 안전성 확인 자료를 전달해 입출금 재개를 협의하고 있습니다.5. 수사 진행 및 자금 회수2026년 7월 28일(화) 13시(KST) 수사기관에 정식 신고하여 수사가 진행되고 있습니다.WEMIX 팀은 확보한 온체인 분석 자료를 수사기관에 계속 제공하고 있으며, 원활한 수사가 이루어질 수 있도록 최대한 협조하고 있습니다. 사고 경위와 자금 흐름을 확인하기 위한 자체 분석도 계속하고 있습니다.자금이 유입된 거래소에 동결과 정보 제공을 요청하고 있으며, 일부 주소는 동결 조치가 완료되었습니다. 스테이블코인 발행사에도 동결 요청을 접수했고, 잔여 자금이 남아 있는 주소는 상시 모니터링하면서 관련 거래소에 사전 경보를 등록하고 있습니다. 수사기관을 통한 국제 공조를 포함해 자금 회수를 위해 최선의 노력을 다하고 있습니다.6. 재발 방지 및 서비스 재개WEMIX 팀은 현재 운영 중인 컨트랙트는 물론, 과거에 배포되어 체인에 남아 있는 모든 컨트랙트를 대상으로 전수 점검을 진행하고 있습니다. 점검과 보완을 거쳐 안전성을 최대한 확보하겠습니다. 또한, 부정 발행된 WEMIX$가 생태계에 악영향을 미치지 않도록 필요한 조치를 취할 예정입니다.서비스는 게임을 중심으로, WEMIX$를 사용하지 않는 서비스부터 안전하게 점검해 순차적으로 재개해 나갈 예정입니다. WEMIX$와 연관성이 적은 Legend of YMIR 블록체인 콘텐츠는 금일 중 서비스를 재개할 예정입니다. 최대한 안전하게 재개할 수 있도록 최선을 다하겠습니다. 보다 구체적인 계획은 확정되는 시점에 추가로 안내드리겠습니다.이용자분들께 다시 한번 사과드립니다. 추가로 확인되는 사항은 지체 없이 안내드리겠습니다.[WEMIX Official Channels]WEMIX Official Website : wemix.com | wemix.com/communityCommunity : X(Twitter) | Telegram | CoinMarketCap | LinkedIn | Binance Square | Facebook(WEMIX Games)WEMIX PLAY Feed : WEMIX PLAY

Popular Articles