Maya Protocol, 6개 버그 악용 해킹으로 17억원 피해·네트워크 중단

크로스체인 유동성 네트워크 Maya Protocol이 6개의 소프트웨어 버그가 동시에 악용된 대규모 해킹 공격을 받아 약 165만 달러 상당의 암호화폐를 탈취당하고 MAYAChain 네트워크 운영을 전면 중단했다. 창업자 AaluxxMyth(이하 Maya)는 X(구 트위터) 게시물에서 "이 사실을 미화할 방법이 없다. 약 20 BTC(140만 달러)와 기타 자산(약 30만 달러)이 탈취됐을 가능성이 높다"고 직접 시인했다. 팀이 공개한 사후 분석 보고서에 따르면 공격자는 23개 메시지로 구성된 단일 MsgDeposit 트랜잭션 하나로 공격 전 과정을 수행했다. 구체적으로는 허위 '절도' 감지 로직을 트리거해 상한선 없는 슬래시 보조금을 통해 저유동성 풀의 CACAO 잔액을 4,945만 개로 인위적으로 부풀렸다. 이후 부풀려진 풀에 LP로 참여해 99.93%의 지분을 확보한 뒤 4,887만 CACAO를 즉시 인출하는 방식이었다. 공격자가 탈취한 CACAO를 비트코인 등으로 스왑하는 과정에서 CACAO 가격이 약 89% 급락했고, 이에 따라 MAYAChain 전체 유동성 풀 가치가 약 1,090만 달러 감소했다. 최종 피해액은 약 165만 달러로 추산되며, 이 중 136만 달러(20.83 BTC 포함)는 외부 블록체인으로 이전됐고 나머지 약 29만 1,000달러는 온체인에 잔류하는 것으로 파악됐다. 팀은 해당 6개 버그가 보안 감사 업체 Halborn과 Fable 5의 감사를 거쳤음에도 3~4년간 탐지되지 않았다고 밝혔다. Maya는 "극도로 단순한 코드 프리미티브를 찾아내기 위해 더 공격적인 접근 방식을 취해야 한다"며 코드 검토 체계 전반을 강화하겠다고 말했다. 팀은 또한 AI가 공격에 사용됐는지 여부는 아직 파악하지 못했다고 덧붙였다. Maya Protocol은 공격자의 비트코인 주소를 공개하고 버그 바운티를 제공하는 조건으로 자금 반환을 촉구했다. 반환이 이뤄지지 않을 경우, 팀은 Aztec Chain 투자 및 기타 수단을 통해 약 20 BTC를 자체 조달해 피해를 입은 유동성 풀에 보전할 계획임을 밝혔다. 이번 사건은 최근 잇따른 대형 DeFi 익스플로잇 중 하나로, 4월에는 KelpDAO 크로스체인 브리지에서 소셜 엔지니어링 공격으로 약 2억 9,200만 달러가 유출됐고, 7월에는 Arbitrum 기반 퍼페츄얼 거래소 Ostium이 오라클 서명 키 탈취로 약 1,800만 달러 피해를 입은 데 이어 AFX Trade에서도 USDC 브리지를 겨냥한 공격으로 약 2,400만 달러가 유출된 바 있다.