Блокчейн-платформа южнокорейской Wemade подтвердила новый взлом: злоумышленник завладел правами администратора смарт-контракта стейблкоина WEMIX$ и незаконно выпустил около 5,22 млн токенов. Монеты обменяли на 30 736 WEMIX и порядка 724 тысяч USDC.e, общий ущерб — $6,25 млн. Что такое административные права смарт-контракта, разбираем в разделе про термины. Это уже второй крупный взлом WEMIX меньше чем за полтора года.

Аномальные транзакции заметили около 9:17 утра по UTC 26 июля, официальное заявление вышло спустя примерно 15 часов, — как следует из сообщения о инциденте. USDC.e перевели в сети Ethereum и BNB Smart Chain, обменяли на другие активы и рассредоточили по кошелькам. Команда остановила все мосты WEMIX 3.0, включая Chainlink CCIP и Play Bridge, приостановила торговлю в затронутых пулах и вывела ликвидность фонда. Часть средств уже заморожена на биржах по просьбе команды.

Прошлый инцидент случился в феврале: через скомпрометированные ключи украли около 8,65 млн токенов WEMIX на $6,2 млн, компанию раскритиковали за задержку с раскрытием. Нынешняя атака отличается: захват прав администратора контракта — иной вектор, чем кража ключей доступа. На фоне взлома обострился вопрос к частным игровым стейблкоинам: только за неделю индустрия потеряла свыше $47 млн на мостах AFX Trade, Wanchain и Verus.

Мой вывод. На мой взгляд, повторный взлом за полтора года — куда более тревожный сигнал, чем сама сумма ущерба. Один инцидент можно списать на случайность, но второй за такой короткий срок ставит под вопрос саму модель управления администраторскими правами внутри компании. Захват прав владельца контракта — это не столько техническая уязвимость кода, сколько провал внутреннего контроля доступа: кто-то получил ключи, которые в принципе не должны были покидать защищённый периметр. Для держателей игровых стейблкоинов вроде WEMIX$ это лишний повод помнить: обеспечение токена реальными долларами ничего не стоит, если саму систему выпуска можно захватить чужими руками. Быстрая заморозка части средств на биржах — хорошая новость, но она работает постфактум, а не предотвращает первопричину.

Материал носит информационный характер и не является инвестиционной рекомендацией — DYOR. Больше о защите цифровых активов — в разделе про безопасность.