WEMIX$関連コントラクトのオーナー権限が侵害、約523万枚の不正ミントでWEMIX3.0がブリッジや主要機能を停止

WEMIXチームは、WEMIX$（ステーブルコイン）に関連するコントラクトのオーナー権限が侵害され、約5,230,000枚（5,225,525枚）のトークンが無許可でミントされたと発表した。これを受け、WEMIX3.0ネットワーク上でブリッジ、流動性プール、複数のサービスを一時停止している。 ホワイトペーパーでは、WEMIX$はトレジャリーに保管されるUSDCで100%担保され、供給量はトレジャリーのUSDC残高と等しく維持される設計と説明されている。ミントは「Authorized Mint Access」を通じてのみ可能で、その権限はDIOS安定化プロトコルに限定されるとも記載されている。 WEMIXの暫定インシデント報告によると、異常取引は7月26日18:17（UTC+9、UTCでは09:17）に発生を確認。WEMIX$関連コントラクトの所有権が侵害された後に始まったという。ホワイトペーパーと今回の更新内容を踏まえると、オーナーレベルの制御が、想定されたミント経路を介さずにトークンを生成するために用いられたことになる。 侵害に至った具体的な経路は開示されていない。また、攻撃者が後に移動させたUSDC.eがトレジャリーから直接流出したものかどうかについても、今回の更新では断定していない。 WEMIXによれば、不正にミントされた5,225,525枚のWEMIX$は、ネットワークのネイティブトークンWEMIX 30,736枚と、WEMIX3.0上で使用されるブリッジ版ステーブルコインUSDC.e 724,198.27枚へ転換された。転換後のUSDC.eはEthereumおよびBNB Smart Chainへブリッジされ、ETHやUSDTなどに交換されたうえで複数アドレスに分散。一部は中央集権型取引所（CEX）にも入金されたという。 ミント枚数がそのまま約523万ドルの損失を意味するわけではなく、WEMIXは最終的な損失額の見積もりや、関与した取引所名を公表していない。協力要請を受けて攻撃者関連アドレスを凍結した取引所があるとも説明したが、凍結額は示しておらず、個別ユーザーの残高に損失が生じたかどうかも明らかにしていない。 封じ込め措置として、7月26日の発表ではWEMIX3.0への入出金に関わる全ブリッジを停止した。Chainlink CCIP経由やPLAY Bridgeも対象に含まれる。発表はChainlink側の問題やCCIPの障害を示唆するものではない。 さらに、WEMIXUSDC.e、WEMIXWEMIX$、CROWWEMIX$、TIPOWEMIX$、PLAYWEMIX$の各プールにおける取引停止、WEMIX$ ModuleとPNIX DEXの停止、一部ゲームにおけるブロックチェーン連動機能の制限、NFTマーケットプレイスでの売買・入札の停止も挙げられた。 WEMIXは2025年9月、WEMIX$を段階的に廃止しUSDC.eへ移行する方針を示し、WEMIX$ Moduleを通じた転換は継続するとしていた。今回の停止対象には、そのWEMIX$ Moduleも含まれる。7月26日時点の更新では再開時期は提示されていない。 原因の特定、最終的な影響範囲、凍結額、ユーザー損失の有無が未確定であるため、インシデントの全容は今後の追加調査結果に左右される。