WEMIX blocca la rete dopo la creazione illecita di 5,2 milioni di stablecoin WEMIX$ tramite un contratto compromesso

Il team di WEMIX ha comunicato che la compromissione dei permessi di ownership di un contratto collegato alla stablecoin WEMIX$ ha consentito il mint non autorizzato di circa 5,23 milioni di token. In risposta, il progetto ha sospeso bridge, pool di liquidità e diversi servizi sulla rete WEMIX3.0. Secondo il whitepaper di WEMIX3.0, WEMIX$ è progettata per essere collateralizzata al 100% da USDC detenuti in Treasury, con un rapporto 1:1 tra l'offerta in circolazione e il volume di USDC in cassa. Il documento indica anche che il mint dovrebbe essere possibile solo tramite Authorized Mint Access, concesso esclusivamente al protocollo di stabilità DIOS. In un aggiornamento preliminare sull'incidente, WEMIX ha riferito che le transazioni anomale sono iniziate alle 18:17 del 26 luglio (UTC+9), corrispondenti alle 09:17 UTC, dopo la compromissione dell'ownership di un contratto legato a WEMIX$. Considerati insieme, whitepaper e aggiornamento suggeriscono che un controllo a livello di owner sia stato sfruttato per generare token al di fuori del percorso di emissione previsto. WEMIX non ha reso noto in che modo tale controllo sia stato violato e l'aggiornamento non stabilisce che gli USDC.e spostati successivamente dall'attaccante provenissero direttamente dal Treasury. WEMIX ha dichiarato che i 5.225.525 WEMIX$ mintati senza autorizzazione sono stati convertiti in 30.736 unità del token nativo WEMIX e in 724.198,27 USDC.e, la stablecoin bridged utilizzata su WEMIX3.0. La società ha precisato che gli USDC.e convertiti sono stati bridgati verso Ethereum e BNB Smart Chain, scambiati in asset tra cui ETH e USDT e distribuiti su più indirizzi. Parte di questi fondi sarebbe poi confluita su exchange centralizzati. Il numero nominale di token creati non equivale automaticamente a una perdita di 5,23 milioni di dollari. WEMIX non ha ancora pubblicato una stima definitiva dell'impatto economico né ha identificato gli exchange coinvolti. Ha aggiunto che alcuni exchange hanno congelato indirizzi associati all'attaccante a seguito di richieste di cooperazione, senza indicare gli importi bloccati né chiarire se vi siano state perdite sui saldi degli utenti. Le misure di contenimento hanno interessato bridge, trading, giochi e NFT. Nell'aggiornamento del 26 luglio, WEMIX ha elencato come sospesi tutti i bridge in entrata e in uscita da WEMIX3.0, inclusi il percorso Chainlink CCIP e il PLAY Bridge. L'annuncio non attribuisce la compromissione a Chainlink né segnala un malfunzionamento di CCIP. È stata inoltre fermata l'operatività nei pool WEMIX/USDC.e, WEMIX/WEMIX$, CROW/WEMIX$, TIPO/WEMIX$ e PLAY/WEMIX$. Il WEMIX$ Module e il PNIX DEX sono stati messi in pausa, alcune funzionalità blockchain integrate nei giochi sono state limitate e il marketplace NFT ha disabilitato trading e offerte. L'interruzione arriva dopo l'annuncio di settembre 2025, con cui WEMIX aveva indicato l'intenzione di dismettere gradualmente WEMIX$ a favore di USDC.e, mantenendo le conversioni attraverso il WEMIX$ Module. Proprio questo modulo figura tra i servizi sospesi nell'aggiornamento del 26 luglio, che non include una tempistica per la riapertura. Con cause ancora non chiarite, impatto finale non quantificato, importi congelati non comunicati e possibili perdite per gli utenti non confermate, la portata dell'incidente resta legata alle prossime verifiche e comunicazioni della società.