WEMIX$合约遭非法越权操作，攻击者增发523万枚代币并跨链转移资金

WEMIX币圈又爆安全大雷，稳定币合约最高管理员权限被黑客拿下，凭空印了五百多万枚WEMIX$，换成代币和美元稳定币跨链转走，损失六百多万美金。官方反应还算及时，直接关掉所有跨链桥和交易池，还找交易所冻结黑客钱包止损。关键是这一年多已经发生一次同类权限被盗事件，平台没吸取教训，权限风控漏洞没补上。下面小编简单梳理了WEMIX合约被盗事件的起始与核心看点。

攻击者夺取稳定币WEMIX$相关智能合约的所有权控制权，未经授权增发5225525枚代币后，WEMIX暂停旗下所有跨链桥与去中心化交易服务。

异常链上交易于世界协调时间7月26日09:17启动。攻击者将这批无储备支撑的增发WEMIX$兑换为30736枚WEMIX原生代币、724198.27枚USDC.e，随后通过跨链桥将USDC.e转移至以太坊、币安智能链；资金兑换为ETH、USDT后分散至多个钱包地址，其中一部分已转入中心化交易所。

文中523万美元，是按WEMIX$预设1美元锚定价格计算的违规增发代币票面总价值。在WEMIX关停受影响基础设施阻断攻击前，攻击者实际完成变现流转的流动资金规模远低于该数值。

早在今年4月生态过渡阶段，WEMIX就已在旗下游戏、去中心化金融全场景用USDC.e逐步替换WEMIX，基金会撤回自有流动性，并关停多组WEMIX流动性池。

跨链桥与流动性池全面暂停

WEMIX3.0生态内全部跨链桥临时关停，包含Chainlink CCIP跨链协议、PLAY官方跨链桥；涉事流动性池停止交易，基金会撤出自有流动性，WEMIX$模块、PNIX去中心化交易所等配套服务同步暂停。

链上追踪机构Specter最先标记以0xc921a66e开头的攻击者地址，完成首轮交易溯源。后续WEMIX团队排查出更多关联钱包，并向各大中心化交易所、稳定币发行方提交资产冻结申请，部分涉案地址已被限制操作，资产追回工作仍在推进。

目前攻击者获取合约所有权的具体攻击路径仍在调查。WEMIX已聘请外部安全技术专家，扩大审计范围，同步排查所有具备同类管理员权限的关联智能合约。

17个月内WEMIX第二次遭遇重大合约入侵

本次合约控制权被盗事件，距离2025年2月PLAY跨链桥盗币攻击仅间隔17个月。彼时攻击者窃取身份验证凭证，从跨链桥金库盗走8654860枚WEMIX，当时价值约610万美元。

本次WEMIX合约被盗之前，多家平台接连爆发多链资产被盗事件：Triple-A关联钱包遭跨链盗币，总计970余万美元资产从波场、以太坊、Polygon、Arbitrum被转出，最终归集为5227枚ETH；Verus以太坊跨链桥因恶意桥接入漏洞流失754万美元资产；更早前万链（Wanchain）卡尔达诺跨链桥因签名漏洞，5.15亿枚NIGHT代币从桥金库流出。

在团队完成合约权限入侵复盘、查清全部资金最终流向前，WEMIX3.0跨链桥、涉事流动性池、WEMIX$模块及PNIX交易所将持续维持关停状态。