26 июля WEMIX опубликовала обновление по инциденту, подтвердив, что право собственности на контракт, связанный со стейблкоином WEMIX Dollar (위믹스달러), было скомпрометировано. Согласно публикации Tokenpost, получив доступ, злоумышленник несанкционированно выпустил около 5,23 млн WEMIX Dollar и обменял их на 30 736 WEMIX и 724 198,27 USDC.e; аномальная транзакция произошла в воскресенье в 09:17 по UTC. Полученные USDC.e впоследствии были переведены через мост в Ethereum и BNB Smart Chain, конвертированы в ETH и USDT (₮), а затем распределены по множеству адресов, часть средств уже поступила на централизованные биржи.
Стоит сразу зафиксировать один арифметический нюанс: объём эмиссии составил 5,23 млн, а реальная выведенная стоимость — лишь около 724 тыс. долларов в эквиваленте стейблкоинов плюс 30 тысяч WEMIX. То есть злоумышленник получил «неограниченное право эмиссии», но реальный потолок обналичивания был ограничен глубиной пула ликвидности. Это не «дестейблинг» и не нехватка резервов, а захват прав владельца контракта — путь распространения риска у этих двух типов инцидентов принципиально разный.
Редакционная интерпретация: реальное влияние на держателей USDT-карт
У подавляющего большинства читателей карта не претерпит никаких функциональных изменений из-за этого инцидента. WEMIX Dollar не является активом, доступным для пополнения ни на одной из основных U-карт, а эмиссионные контракты Tether и Circle никак не связаны с этим событием (данные о резервах и эмиссии Tether см. на его официальной странице прозрачности). Реальное внимание стоит уделить загрязнению на стороне получателей, а не эмиссии на стороне источника.
Риск сосредоточен в одном звене цепочки: похищенные средства уже конвертированы в ETH и USDT и поступили на централизованные биржи. Это означает, что в течение следующих 2–8 недель USDT, имевшие близкое взаимодействие с этими адресами, будут помечены риск-мониторингом бирж и платёжных провайдеров на уровне блокчейна. Особое внимание стоит проявить трём категориям пользователей:
- Пользователи карт, привязанных к учётным записям на CEX: баланс таких карт, как Bybit Card и OKX Card, по сути работает на основном аккаунте биржи. Если поступивший USDT попадает под риск-метку, блокируется не «карта» — блокируется весь аккаунт на бирже, а карта просто перестаёт работать вслед за ним. Радиус риск-мониторинга у таких структур гораздо шире, чем у самостоятельных кошельков.
- Пользователи, привыкшие получать U через OTC или напрямую от контрагентов, а затем пополнять карту: это самый реалистичный канал распространения последствий данного инцидента. Именно для выхода на офчейн-ликвидность злоумышленник конвертировал USDC.e в USDT и распределил их по адресам. Получение U от незнакомых контрагентов в ближайшее время связано с повышенной вероятностью попадания под метку трассировки происхождения средств.
- Пользователи мультичейн-пополнения: похищенные средства прошли через Ethereum и BNB Chain. В ближайшее время обновления адресных меток на этих двух цепочках будут происходить чаще, поэтому перед пополнением стоит убедиться, какие сети поддерживает эмитент карты и в каком состоянии находятся метки адресов.
Напротив, продукты, построенные на независимой структуре кошелька и отдельного карточного счёта, подвержены меньшему сопутствующему риску на уровне всего аккаунта. В обзоре MPCard мы фиксировали её структуру разделения кошелька MPChat и карты: лимит по карте и баланс кошелька мессенджера учитываются раздельно, а пул активов для пополнения не смешивается с основным аккаунтом биржи. Это не означает «иммунитет к риск-мониторингу» — любой лицензированный эмитент проводит проверку транзакций в блокчейне, — но такая структура сужает радиус распространения по принципу «одна помеченная транзакция → заморожены все активы». Кроме того, пользователи самостоятельных решений, таких как OneKey Card, полностью несут ответственность за гигиену адресов сами, поскольку никакая промежуточная сторона не отфильтровывает загрязнённые средства за них.
Разумные ожидания по временным рамкам: в течение 7 дней постепенно появятся результаты внесения адресов в чёрные списки и частичной заморозки средств на уровне бирж; в течение 30 дней возможен пересмотр листинга и корректировка ликвидности активов экосистемы WEMIX в рамках объединения южнокорейских бирж (DAXA); в перспективе 90 дней стоит следить за тем, будет ли этот инцидент использован как аргумент в дискуссии по законодательству о стейблкоинах в Южной Корее.
Историческое сопоставление: три типа «инцидентов со стейблкоинами» не стоит путать
Чтобы оценить серьёзность данного инцидента, его нужно поместить в общую систему координат.
Первый тип — дестейблинг на уровне эмитента, классический пример — падение USDC ниже 0,90 доллара в марте 2023 года из-за риска в Silicon Valley Bank. Тогда проблема была в банке-хранителе резервов, решение обеспечили регуляторы и банковская система, а последствия затронули всех держателей этого стейблкоина — включая тех, кто пополнял карту через USDC.
Второй тип — механический коллапс, классический пример — Terra/UST в мае 2022 года. Это тоже был проект под руководством южнокорейской команды, что в итоге ускорило принятие «Закона о защите пользователей виртуальных активов». Разрушительная сила исходила от изъянов дизайна и не подлежала исправлению.
Третий тип — это данный случай, захват прав контроля над контрактом, аналогичные прецеденты включают неограниченную эмиссию PAID Network в 2021 году и утечку приватного ключа деплойера Ankr aBNBc в 2022 году. Общее у них: утрата контроля над эмиссией → неограниченный выпуск → обмен на наличные в пределах глубины пула. Различие в том, что верхний предел убытков ограничен ликвидностью, а не является бездонным. Тот факт, что из 5,23 млн выпущенных токенов удалось обналичить лишь около 724 тыс. долларов в стейблкоинах, — учебный пример именно этой закономерности.
Для держателя карты по-настоящему опасен только первый тип — «баланс вашей карты действительно уменьшится». Третий тип затрагивает в основном держателей самого проектного токена и загрязнённые нисходящие потоки USDT. Этот случай относится к третьему типу.
Регуляторные границы: различия в подходах к стейблкоинам в Азии усиливаются
Один из структурных моментов данного инцидента: WEMIX Dollar — это стейблкоин, самостоятельно выпущенный проектом, право эмиссии сосредоточено в руках владельца контракта, без обязательных требований к резервам и управлению, характерных для лицензируемых эмитентов. Положение таких активов в разных юрисдикциях Азиатско-Тихоокеанского региона сильно различается.
В Японии после пересмотра Закона о расчётах в 2023 году стейблкоины были прямо отнесены к категории электронных платёжных средств, а их эмиссия регулируется лицензиями трастовых компаний / банков / операторов денежных переводов — см. наш гид по комплаенсу в Японии; закон о стейблкоинах Гонконга аналогичным образом устанавливает систему лицензирования эмитентов и требования по обособлению резервов, подробности в гиде по комплаенсу в Гонконге; подход MAS Сингапура к стейблкоинам можно изучить в гиде по комплаенсу в Сингапуре. Южная Корея пока находится в состоянии, когда «первый этап Закона о защите пользователей виртуальных активов» уже действует, а вопрос принадлежности эмиссии стейблкоинов и их валютного статуса всё ещё обсуждается на законодательном уровне — именно здесь и находится серая зона: проект, выпускающий токен, привязанный к доллару, формально не запрещён, но отсутствуют обязательные требования к депонированию резервов и управлению правами эмиссии, а путь привлечения к ответственности после инцидента остаётся неясным.
Практический вывод для держателей карт прост: хранить средства в стейблкоинах, регулируемых лицензией (USDT/USDC), гораздо надёжнее с точки зрения ясности правовой защиты, чем в самостоятельно выпущенных проектных стейблкоинах. Приоритет при выборе карты — какие стейблкоины поддерживает эмитент — тоже часть этой логики: в сравнении U-карт для пользователей из Южной Кореи мы ранжировали карты именно по этому критерию.
Четыре момента, за которыми стоит следить дальше
- Дальнейшие заявления WEMIX: перенесены ли права эмиссии на мультиподпись или тайм-лок контракт. Если произошла лишь «смена приватного ключа владельца» без изменения структуры управления, риск не устранён.
- Результаты заморозки на биржах: сколько из уже поступивших на CEX средств удастся вернуть — это определит, будет ли данный случай считаться «потерей в 700 тыс. долларов» или «испугом на 700 тыс. долларов».
- Меры со стороны DAXA: предупреждения об инвестициях или корректировки торговой поддержки активов экосистемы WEMIX со стороны южнокорейских бирж обычно озвучиваются в течение 2–4 недель после инцидента.
- Прогресс южнокорейского законодательства о стейблкоинах (второй этап): после Terra каждый локальный инцидент со стейблкоином цитировался в законодательных дебатах, и этот случай не станет исключением.
Редакционные рекомендации
- Держателям MPCard, Bybit Card, OKX Card, которые никогда не имели дела с экосистемой WEMIX: никаких действий не требуется. Функциональность карты, лимиты и каналы пополнения этим инцидентом не затронуты.
- Пользователям, которые планируют в ближайшее время получать USDT через OTC или от незнакомых контрагентов, а затем пополнять карту: рекомендуется в течение следующих 30 дней перейти на вывод с биржи или перевод с собственного кошелька. Это единственный реалистичный канал распространения риска в данном инциденте, и избежать его можно с минимальными усилиями.
- Держателям баланса в WEMIX Dollar: не пытайтесь играть на разнице курсов в пуле ликвидности. Пул уже был однажды выкачан, глубина и котировки ненадёжны.
- Пользователям, использующим самостоятельно выпущенные проектные стейблкоины как «резервный фонд для пополнения карты»: это лучшее напоминание. Средства для пополнения стоит держать в стейблкоинах с публичным раскрытием резервов, таких как USDT / USDC; если базовые понятия ещё не до конца понятны, сначала изучите что такое U-карта, прежде чем решать, где размещать средства.
- Пользователям, которые сейчас выбирают карту: добавьте в критерии оценки пункт «привязана ли структура счёта к основному аккаунту биржи». Риск сопутствующей заморозки при подобных инцидентах безопасности никогда не начинается с самой карты.