WEMIXの運営主体であるWemix Teamは30日、26日に発生したWEMIX$のコントラクト権限奪取事故について、原因はプロキシコントラクトの初期化関数にあった脆弱性だと発表した。攻撃者はこの欠陥を悪用して管理者権限を奪取し、WEMIX$522万5524.9997枚を不正発行したという。

◆初期化関数の再実行が可能な状態に

Wemix Teamによると、26日午後6時17分、2つのスマートコントラクトの管理者権限が第三者に移った。対象は、WEMIX$の価格維持を担う「DIOS」と、WEMIX$を担保資産と1対1で交換する「AMA」だ。

攻撃者は単一のトランザクション内で攻撃用コントラクトをデプロイして両コントラクトの権限を確保し、その後、フラッシュローンとスワップを9回繰り返してWEMIX$を不正発行した。

Wemix Teamは、今回の事故は内部システムへの侵入や管理者の秘密鍵流出によるものではないと説明した。ブロックチェーン上で公開されていたスマートコントラクトの欠陥を突いた攻撃だとしている。

DIOSとAMAは、ロジックを後から差し替えられるプロキシ構造で設計されていた。この方式ではデプロイ直後に初期化関数「initialize」を1回実行し、管理者アドレス「owner」を登録する。2022年10月のデプロイ時には初期化関数は1回だけ正常に実行され、管理者権限も適切に設定されていたという。

問題は2022年11月の3回目のアップグレード時に生じた。当時のコード修正で初期化関数の実行制限が変更され、初回のみ実行可能だった仕様が、2回目の実行も許す形になった。しかも2回目の初期化呼び出しには別途のアクセス制御がなく、誰でも関数を直接呼び出して管理者アドレスを再登録できる状態だったという。

Wemix Teamは、当該コントラクトは外部開発会社が開発・デプロイしたものだと明らかにした。作業が正規の手順で進められたかどうかは確認中としている。また、DIOSとAMAはWEMIX$の終了計画に伴って実運用していなかったコントラクトで、攻撃者はこの未使用状態のコントラクトの脆弱性を狙ったとみている。

攻撃者は2回目の初期化関数を呼び出し、両コントラクトの管理者アドレスを自作の攻撃用コントラクトに変更した。その後、発行機能と交換機能の実行権限を自身に付与し、発行代金と手数料の受取先アドレスも差し替えた。続いてAMAの交換機能とDIOSの価格調整用発行ロジックを交互に呼び出し、WEMIX$を不正発行したという。Wemix Teamは、捜査中の案件であるため詳細の開示には限界があり、捜査終了後に具体的な内容を共有するとした。

現時点で確認された外部流出資産は、72万3244.4936USDC.eと3万4752.3199WEMIX。Wemix Teamは、一部のゲームトークンでもWEMIX$との関連が疑われる取引を確認しており、関連トランザクションを分析中だと説明した。被害額と補償規模が確定し次第、追加で案内するとしている。

◆捜査機関に申告、資金追跡とサービス再開を並行

Wemix Teamは、ゲームトークン価格の異常な値動きを内部モニタリングで検知し、事故を最初に把握したと説明した。その後、攻撃者のアドレスを特定して取引所にブラックリスト登録を要請し、WEMIX$の発行権限も回収して追加発行を遮断した。

あわせて、財団が供給していた流動性を回収し、WEMIX$とUSDC.eに関連する流動性プールの取引を一時停止した。Chainlinkの協力を得てCCIPブリッジとPlay Bridgeも停止し、WEMIX$交換モジュールとPNIX DEXのサービスも中断した。ゲーム内のブロックチェーンコンテンツとNFTマーケットプレイスの入札機能も停止した。

この過程で、一部の海外取引所は予防措置としてWEMIXの入出金を一時停止した。Wemix Teamは、安全性を確認する資料を提供し、再開に向けて協議していると述べた。

Wemix Teamは28日午後1時、捜査機関に被害を正式に申告した。捜査は現在も続いており、オンチェーン分析資料を提供して協力しているという。資金が流入した取引所とステーブルコイン発行体には凍結を要請しており、一部アドレスでは凍結措置が完了した。残存資金が確認されるアドレスについては常時監視を続け、国際連携も含めて資金回収に取り組んでいるとした。

また、稼働中のコントラクトだけでなく、過去にデプロイしたすべてのコントラクトを対象に総点検を進めていることも明らかにした。不正発行されたWEMIX$がエコシステムに悪影響を及ぼさないよう、必要な措置を講じる方針だ。

サービスについては、ゲームを中心にWEMIX$を使わないものから順次再開する。WEMIX$との関連性が低い「レジェンド・オブ・イミル」のブロックチェーンコンテンツは30日中に再開する予定で、具体的な再開計画は確定次第、追加で案内するとしている。