WEMIX congela la red tras la acuñación no autorizada de 5,2 millones de WEMIX$ por un contrato comprometido

El equipo de WEMIX informó de que la toma de control del propietario de un contrato vinculado a su stablecoin WEMIX$ permitió acuñar sin autorización unos 5.230.000 tokens. Como medida de contención, la compañía suspendió puentes, pools de liquidez y varios servicios en la red WEMIX3.0. El whitepaper de WEMIX3.0 describe WEMIX$ como un activo respaldado al 100% por USDC mantenido en una tesorería y señala que su oferta debe mantenerse en paridad 1:1 con el volumen de USDC de dicha tesorería. El documento también indica que la acuñación solo es posible mediante un acceso autorizado (Authorized Mint Access), concedido exclusivamente al protocolo de estabilidad DIOS. En una actualización preliminar, WEMIX explicó que las transacciones anómalas comenzaron el 26 de julio a las 18:17 (UTC+9), equivalente a las 09:17 UTC, después de que se comprometiera la propiedad de un contrato relacionado con WEMIX$. En conjunto, la documentación sugiere que se utilizó control a nivel de propietario para generar tokens fuera de la ruta de acuñación prevista en el whitepaper. WEMIX no ha detallado cómo se obtuvo ese control y su comunicado no confirma que el USDC.e movido posteriormente por el atacante procediera directamente de la tesorería. Según la empresa, los 5.225.525 WEMIX$ acuñados sin autorización se convirtieron en 30.736 unidades del token nativo WEMIX y en 724.198,27 USDC.e, la stablecoin puenteada utilizada en WEMIX3.0. WEMIX añadió que el USDC.e resultante se puenteó a Ethereum y BNB Smart Chain, se intercambió por activos como ETH y USDT y se distribuyó entre múltiples direcciones; parte de esos fondos terminó más tarde depositada en exchanges centralizados. El hecho de que se acuñaran 5,23 millones de tokens no implica automáticamente una pérdida de 5,23 millones de dólares. WEMIX no ha publicado una estimación final del impacto ni ha identificado los exchanges implicados. Indicó que algunos exchanges congelaron direcciones asociadas al atacante tras recibir solicitudes de cooperación, sin precisar importes congelados ni aclarar si hubo pérdidas en saldos de usuarios. La respuesta del 26 de julio incluyó la suspensión de todos los puentes de entrada y salida conectados a WEMIX3.0, incluida la ruta de Chainlink CCIP y PLAY Bridge. El anuncio no atribuyó el incidente a Chainlink ni reportó un fallo de CCIP. También se detuvo la operativa en los pools WEMIX"USDC.e, WEMIX"WEMIX$, CROW"WEMIX$, TIPO"WEMIX$ y PLAY"WEMIX$. Se pausaron el módulo WEMIX$ (WEMIX$ Module) y el DEX PNIX; además, se restringieron funciones vinculadas a blockchain en algunos juegos y se deshabilitaron las operaciones y pujas del mercado de NFTs. La interrupción se produce después de que WEMIX anunciara en septiembre de 2025 que retiraría progresivamente WEMIX$ en favor de USDC.e, manteniendo las conversiones a través del WEMIX$ Module, uno de los servicios suspendidos en la actualización del 26 de julio. En ese comunicado no se ofreció un calendario de reapertura. Con la causa aún sin aclarar y sin datos finales sobre el impacto, los importes congelados y posibles pérdidas de usuarios, el alcance definitivo del incidente dependerá de las próximas conclusiones de la compañía.