[딜사이트 이태민 기자] 위메이드의 스테이블코인 '위믹스달러(WEMIX$)'에서 발생한 77억원 규모의 보안 사고는 단순 해킹이 아닌 스마트컨트랙트의 구조적 취약점에서 비롯된 것으로 나타났다. 서버와 네트워크를 중심으로 한 전통적인 정보보호 체계만으로는 블록체인 금융 인프라를 방어하기 어렵다는 점이 드러난 것이다. 게임과 블록체인을 연결하는 웹3 생태계를 확대해 온 위메이드로서는 보안 패러다임 자체를 다시 점검해야 하는 과제를 안게 됐다.

3년 8개월 방치된 코드…'오너 권한' 뚫리자 77억 증발

6일 가상자산업계에 따르면 최근 발생한 위믹스달러 보안 사고는 스마트컨트랙트 코드에 남아 있던 구조적 결함을 악용한 공격으로 확인됐다. 지난달 26일 오후 6시17분 스마트컨트랙트의 오너 권한이 탈취되면서 위믹스달러 522만5525개가 무단 발행됐고, 피해 규모는 약 77억원에 달했다.

위메이드에 따르면 이번 사고는 내부 시스템 침해나 관리자 개인키 유출이 아니라 블록체인에 공개된 스마트컨트랙트 취약점을 이용한 공격이었다. 표적은 위믹스달러 가격 안정을 담당하는 'DIOS'와 담보 자산을 1대1로 교환하는 'AMA' 스마트컨트랙트였다.

문제의 취약점은 2022년 11월 시스템 개편 과정에서 발생했다. 코드 수정 과정에서 한 번만 실행돼야 할 관리자 권한 초기화 함수가 반복 실행될 수 있도록 남아 있었고, 공격자는 이를 이용해 관리자 주소를 공격용 컨트랙트로 변경한 뒤 발행·교환 권한을 탈취했다. 약 3년 8개월 동안 방치된 코드가 대규모 피해로 이어진 셈이다.

투자 늘었지만 블록체인 보안 물음표…공시 사각지대도 노출

이번 사고가 더욱 주목받는 이유는 위메이드가 지난해 대규모 해킹 사고 이후 정보보호 체계를 지속 강화해 왔기 때문이다.

위메이드는 지난해 2월 플레이 브릿지 볼트 해킹 사고 이후 보안 인프라를 전면 점검했고, 같은 해 5월에는 ISMS 인증을 갱신했다. 올해는 블록체인 보안업체 서틱(CertiK)으로부터 최고 등급인 '트리플A(95.13점)'를 획득했다. 망분리와 정보보호 관리체계 등 전통적인 IT 보안은 꾸준히 강화한 셈이다.

한국인터넷진흥원(KISA) 정보보호 공시에 따르면 2024년 기준 위메이드의 정보보호 투자액은 31억8875만원으로 전년보다 13.2% 증가했다. 반면 정보기술(IT) 투자액은 825억원에서 789억원으로 감소해 IT 투자 대비 정보보호 투자 비중은 오히려 높아졌다.

그러나 전담인력은 다른 흐름을 보였다. IT 인력은 251.5명에서 265.2명으로 늘었지만 정보보호 전담인력은 16.5명에서 16.1명으로 감소했다. 내부 전담인력은 15.5명에서 15.1명으로 줄었고 외주 인력은 2년 연속 1명을 유지했다. IT 인력 대비 정보보호 전담인력 비율도 6.5%에서 6.1%로 하락했다. 스마트컨트랙트 감사처럼 전문 인력 의존도가 높은 영역까지 충분히 강화됐는지는 확인하기 어렵다는 의미다.

올해부터는 정보보호 공시 의무 대상에서도 제외됐다. 지난해 별도 매출이 3000억원을 밑돌면서 투자 규모와 전담인력 현황을 외부에서 확인할 수 없게 됐다.

여기에 현재 공시는 위메이드 본사 기준이라는 한계도 있다. 실제 위믹스 플랫폼 개발과 운영은 싱가포르 자회사인 'WEMIX PTE'가 담당하지만 해당 법인의 정보보호 투자와 인력은 공시에 포함되지 않는다. 공개된 수치만으로는 위믹스 생태계 전체의 보안 역량을 평가하기 어려운 구조다.

전통 IT 보안 강화…스마트컨트랙트는 사각지대

더 큰 문제는 위메이드의 정보보호 체계가 전통적인 IT 인프라 보안에는 집중돼 있지만, 스마트컨트랙트 자체를 상시 검증하는 체계는 상대적으로 부족했다는 점이다.

위메이드 지속가능경영보고서에 따르면 회사는 매년 1회 이상 정보보호 리스크 평가를 실시하며 47개 분야, 341개 항목, 1332개 대상을 점검하고 있다. 하지만 블록체인에 배포된 스마트컨트랙트는 이 점검 체계에 포함되지 않은 것으로 확인됐다.

망분리와 다중인증(MFA), 접근통제 강화 등도 대부분 내부 계정 탈취나 서버 침해를 막기 위한 전통적인 IT 보안 체계에 초점이 맞춰져 있다. 게임과 블록체인 금융 서비스를 함께 운영하는 사업 구조를 고려하면 디파이(DeFi)와 웹3(Web3) 환경에서 발생하는 스마트컨트랙트 취약점까지 포괄하는 보안 체계가 필요하다는 지적이 나온다.

정부도 정보보호 공시 의무를 확대하는 방향으로 정보보호산업법 시행령 개정을 추진 중이다. 상장사와 ISMS 인증 기업까지 공시 의무 대상을 넓히는 내용이 담겼으며, 시행될 경우 위메이드도 다시 공시 대상에 포함될 가능성이 크다.

위메이드는 현재 수사기관과 협조해 사고 원인을 조사하는 한편 스마트컨트랙트 전면 점검과 보안 강화 작업을 진행하고 있다고 밝혔다.

결국 위메이드 보안 전략의 성패는 서버와 네트워크 중심의 전통적인 정보보호 체계를 넘어 스마트컨트랙트와 블록체인 프로토콜 자체를 상시 검증하는 체계를 구축할 수 있느냐에 달렸다는 평가다. 게임사의 정보보호가 웹3 금융 인프라 보안으로 확장되는 전환점에서 위메이드의 대응이 향후 업계의 새로운 기준이 될 것으로 보인다.