WEMIX는 7월 26일 사고 업데이트 공지를 발표하며 WEMIX Dollar(위믹스달러)와 연동된 계약의 소유권이 침해되었음을 확인했다. Tokenpost 보도에 따르면, 공격자는 권한을 확보한 뒤 약 523만 개의 WEMIX Dollar를 무단 발행하고, 이를 30,736개의 WEMIX와 724,198.27개의 USDC.e로 환전했다. 이상 거래는 UTC 기준 일요일 09:17에 발생했다. 이 USDC.e는 이후 이더리움과 BNB 스마트체인으로 브리지되어 ETH와 USDT(₮)로 환전된 뒤 여러 주소로 분산되었으며, 그중 일부 자금은 중앙화 거래소로 유입되었다.
먼저 기억해둘 만한 산술적 세부 사항이 있다. 발행량은 523만 개였지만, 실제로 빼낼 수 있었던 가치는 약 72.4만 달러 상당의 스테이블코인과 3만 개의 WEMIX에 그쳤다. 즉 공격자는 “무제한 발행 권한”을 손에 넣었지만, 실제 현금화할 수 있는 상한선은 풀(pool)의 깊이에 의해 제한되었다는 뜻이다. 이는 “스테이블코인 디페깅”도 아니고 준비금 부족도 아니다. 계약 owner 권한이 탈취된 사건이며, 두 종류의 사건은 위험이 전이되는 경로가 완전히 다르다.
편집자 해설: USDT 카드 이용자에 대한 실제 영향
대부분의 독자가 소지한 카드는 이 사건으로 인해 어떤 기능 변화도 겪지 않는다. WEMIX Dollar는 어떤 주요 U 카드의 충전 자산도 아니며, Tether와 Circle의 발행 계약은 이번 사건과 무관하다(Tether의 준비금 및 발행 데이터는 공식 투명성 페이지 참조). 진짜 주의해야 할 것은 하류(下流) 오염이며, 상류 발행 문제가 아니다.
위험은 한 가지 경로에 집중된다. 장물이 이미 ETH와 USDT로 환전되어 중앙화 거래소로 유입되었다는 점이다. 이는 앞으로 2~8주 동안 이 주소들과 근접 상호작용한 USDT가 거래소 및 결제 기관의 온체인 리스크 관리 시스템에 의해 표시(flag)될 가능성이 있다는 뜻이다. 세 유형의 이용자는 구체적으로 대비할 필요가 있다.
- CEX 계정 체계에 의존해 카드를 발급받은 이용자: Bybit Card, OKX Card와 같은 카드의 잔액은 본질적으로 거래소 메인 계정에서 운영된다. 입금된 USDT가 리스크 관리 표시에 걸리면, 동결되는 것은 “카드”가 아니라 거래소 계정 전체이며—카드는 그에 따라 함께 정지될 뿐이다. 이런 구조의 리스크 반경은 자체 커스터디 지갑보다 훨씬 크다.
- OTC나 개인 간 거래로 U를 받아 카드를 충전하는 이용자: 이번 사건에서 가장 현실적인 전이 통로다. 공격자가 USDC.e를 USDT로 환전하고 여러 주소로 분산시킨 이유는 바로 장외 유동성으로 진입하기 위해서였다. 최근 낯선 거래 상대방으로부터 U를 받았다면, 추적 표시가 붙을 확률이 평소보다 높다.
- 멀티체인 충전 이용자: 장물은 이더리움과 BNB 체인을 통해 이동했다. 이 두 체인에서는 단기간 내 주소 태깅 업데이트가 더 빈번하게 일어날 것이므로, 충전 전 발급사가 지원하는 체인과 주소 태깅 상태를 확인하는 것이 유용하다.
반면, 독립된 지갑과 독립된 카드 계정 구조를 사용하는 상품은 계정 단위의 연쇄 영향이 훨씬 적다. MPCard 리뷰에서 우리는 MPChat의 지갑과 카드 분리 구조를 기록한 바 있다. 카드 한도와 채팅 지갑 잔액은 별도로 관리되며, 충전 자산 풀은 거래소 메인 계정과 혼재되지 않는다. 이것이 “리스크 관리로부터 면제”된다는 뜻은 아니다—합법적으로 운영되는 발급사라면 온체인 스크리닝을 수행한다—하지만 “한 건의 입금이 표시됨 → 전체 자산 동결”로 이어지는 연쇄 범위는 줄여준다. 한편 OneKey Card와 같은 자체 커스터디 경로를 이용하는 사람들은 주소 위생(address hygiene) 관리의 책임을 전적으로 스스로 져야 한다. 중간 기관이 대신 부정한 자금을 걸러주지 않기 때문이다.
시간 흐름에 대한 합리적 예상: 7일 내에 거래소 차원의 주소 블랙리스트 등록과 일부 자금 동결 결과가 차례로 공개될 것이다. 30일 내에는 한국 거래소 연합체(DAXA) 체계 내에서 WEMIX 생태계 자산에 대한 상장 심사 및 유동성 조정이 나타날 수 있다. 90일 내에는 이 사건이 한국 스테이블코인 입법 논의의 참고 사례로 언급되는지가 더 눈여겨볼 지점이다.
역사적 비교: 세 유형의 “스테이블코인 사고”를 혼동하지 말 것
이번 사건을 좌표계 안에 놓아야 심각성을 제대로 판단할 수 있다.
첫 번째 유형은 발행사 차원의 디페깅이다. 대표적인 예는 2023년 3월 USDC가 실리콘밸리은행 익스포저로 인해 일시적으로 0.90달러 아래로 떨어진 사건이다. 그때 문제는 준비금 은행에 있었고, 해결은 규제와 은행 시스템의 뒷받침을 통해 이루어졌다. 그 스테이블코인을 보유한 모든 사람—USDC로 카드를 충전한 이용자를 포함해—이 영향을 받았다.
두 번째 유형은 메커니즘적 붕괴다. 대표적인 예는 2022년 5월의 Terra/UST다. 이 역시 한국 팀이 주도한 프로젝트였으며, 결국 「가상자산 이용자 보호법」의 입법을 가속화시켰다. 그 파괴력은 설계상의 결함에서 나왔고, 복구가 불가능했다.
세 번째 유형이 바로 이번의 계약 권한 탈취이며, 유사한 선례로는 2021년 PAID Network의 무제한 발행, 2022년 Ankr aBNBc의 배포자 개인키 유출이 있다. 공통점은 발행 권한 상실 → 무제한 증발 → 풀의 깊이만큼 현금화라는 흐름이며, 차이점은 손실 상한이 유동성에 의해 잠겨있다는 점이지, 바닥없는 구멍이 아니라는 점이다. 이번 사건에서 523만 개가 발행되었지만 실제로 환전된 가치는 72.4만 달러 상당에 불과했던 것이 바로 이 규칙의 교과서적 사례다.
카드 이용자에게 있어 진짜로 “카드 잔액이 줄어드는” 유형은 첫 번째뿐이며, 세 번째 유형은 기본적으로 해당 프로젝트 자체 토큰 보유자와 오염된 하류 USDT 흐름에만 영향을 미친다. 이번 사건은 세 번째 유형에 속한다.
규제 경계: 아시아태평양 스테이블코인 프레임워크 차이가 부각되고 있다
이번 사건의 구조적 관전 포인트 중 하나는, WEMIX Dollar가 프로젝트 자체 발행 스테이블코인으로서 발행 권한이 계약 owner에게 집중되어 있고, 라이선스로 규율되는 준비금 및 거버넌스 요건이 결여되어 있다는 점이다. 이런 자산은 아시아태평양의 서로 다른 관할권에서 처지가 크게 다르다.
일본은 2023년 자금결제법 개정 이후 스테이블코인을 전자결제수단 범주에 명확히 편입시켰고, 발행은 신탁/은행/자금이동업자 라이선스로 규율된다. 자세한 내용은 일본 규제 가이드를 참고하라. 홍콩의 스테이블코인 조례 역시 발행인 라이선스 제도와 준비금 격리 요건을 확립했으며, 자세한 내용은 홍콩 규제 가이드에서 확인할 수 있다. 싱가포르 MAS의 스테이블코인 프레임워크 경로는 싱가포르 규제 가이드를 참고하라. 한국은 현재 “「가상자산 이용자 보호법」 1단계는 시행되었으나, 스테이블코인 발행 및 외환 성격 귀속 문제는 여전히 입법 논의 중”인 상태에 머물러 있다. 바로 이 지점이 그레이존이다. 달러에 연동된 토큰을 프로젝트가 발행하는 행위 자체는 명확히 금지되어 있지 않지만, 강제적인 준비금 위탁 관리 및 발행 권한 거버넌스 요건이 없어 사고 발생 후 책임 추적 경로도 명확하지 않다.
카드 이용자에게 이는 실무적으로 아주 명확한 시사점을 준다. 라이선스 규율을 받는 스테이블코인(USDT/USDC)에 자금을 두는 것이, 프로젝트 자체 발행 스테이블코인에 두는 것보다 법적 구제 경로가 훨씬 명확하다. 카드를 선택할 때 발급사가 어떤 스테이블코인을 지원하는지를 우선적으로 확인하는 것도 이 논리의 일부다—한국 이용자를 위한 U 카드 비교에서 우리는 이 기준에 따라 순위를 매긴 바 있다.
앞으로 주목할 네 가지 시점
- WEMIX의 후속 공지: 발행 권한이 멀티시그나 타임락 계약으로 이전되었는지 여부. 만약 단순히 “owner 개인키를 교체”하는 데 그치고 거버넌스 구조를 바꾸지 않는다면 위험은 해소되지 않은 것이다.
- 거래소 동결 결과: CEX로 유입된 자금 중 얼마나 회수 가능한지가, 이 사건이 “70만 달러 손실”이었는지 “70만 달러짜리 경고”였는지를 결정할 것이다.
- DAXA 체계의 조치: 한국 거래소들이 WEMIX 생태계 자산에 대해 투자 경고를 발표하거나 거래 지원을 조정하는 일은, 사고 발생 후 통상 2~4주 내에 이루어진다.
- 한국 스테이블코인 입법(2단계) 진행 상황: Terra 사태 이후 국내 스테이블코인 사고가 발생할 때마다 입법 논의에 인용되어 왔으며, 이번도 예외는 아닐 것이다.
편집자 제언
- MPCard, Bybit Card, OKX Card를 보유하고 WEMIX 생태계와 전혀 접촉하지 않은 이용자: 어떤 조치도 필요하지 않다. 카드 기능, 한도, 충전 경로 모두 이번 사건의 영향을 받지 않는다.
- 최근 OTC나 낯선 거래 상대방으로부터 USDT를 받아 카드를 충전할 계획이 있는 이용자: 앞으로 30일 동안은 거래소 출금이나 자체 지갑 이체로 전환하는 것을 권장한다. 이것이 이번 사건에서 유일하게 현실적인 전이 위험이며, 매우 낮은 비용으로 회피할 수 있다.
- WEMIX Dollar 잔액을 보유한 이용자: 유동성 풀에서 가격 차이를 노리는 거래를 시도하지 말라. 풀은 이미 한 차례 고갈된 상태이며, 깊이와 시세 모두 신뢰할 수 없다.
- 프로젝트 자체 발행 스테이블코인을 “카드 충전 비상금”으로 사용하던 이용자: 이번이 가장 좋은 경고다. 충전 자산은 공개된 준비금 공시가 있는 USDT/USDC 같은 스테이블코인으로 되돌리길 바란다. 기본 개념이 아직 낯설다면 U 카드란 무엇인가를 먼저 읽고 자금 배치를 결정하라.
- 현재 카드를 선택 중인 이용자: “계정 구조가 거래소 메인 계정과 결합되어 있는지”를 평가 항목에 포함시켜라. 이런 보안 사건에서의 연쁄 동결 위험은, 결코 카드 자체에서 시작되는 것이 아니다.