마야 프로토콜 해킹 3일째, 공격자 20.83 BTC 여전히 보유

마야 프로토콜은 8월 18일 크로스체인 유동성 프로토콜을 겨냥한 해킹 공격을 받았으며, 사흘이 지난 8월 21일 기준으로도 공격자로 의심되는 비트코인 주소에는 20.8273 BTC가 출금 기록 없이 그대로 보관돼 있다. 공개된 비트코인 온체인 데이터에 따르면 해당 주소에는 8월 18일 오후 5시 32분 18초(UTC) 기준으로 10건의 초기 입금을 통해 20.82730682 BTC가 유입됐고, 이후 546사토시 트랜잭션이 추가되면서 총 11건의 확인된 거래가 기록됐다. 현재 비트코인 가격 기준 잔액은 약 159만 달러에 해당한다. 온체인 분석가 SigIntZero는 기술적 재구성을 통해 이번 공격이 단일 23개 메시지 트랜잭션 내에 연결된 여섯 가지 회계 및 상태 처리 결함을 이용한 것이라고 설명했다. 공격자는 덮어쓰기된 아웃바운드 상태를 통해 허위 전송 누락 신호를 발생시켜 보상 경로를 활성화했고, 마야 준비금에 약 168,000 CACAO만 있었음에도 ARB.LINK 풀에 약 4,945만 CACAO가 적립됐다. 준비금 전송 자체는 실패했으나 부풀려진 잔액은 그대로 유지됐고, 소액의 유동성을 추가한 뒤 공격자는 해당 풀의 약 99.93%의 소유권 단위를 확보해 약 4,887만 CACAO를 인출하고 이를 MAYAChain의 다른 풀이 보유한 자산으로 스왑했다. SigIntZero의 추산에 따르면 약 136만 달러 상당의 자산이 외부 체인으로 이동했고, 약 29만 1,000달러는 MAYAChain 내에 잔류해 공격자가 직접 통제하는 자산의 총가치는 약 165만~170만 달러에 달하는 것으로 파악됐다. 이와 별도로 풀 전체 피해는 약 1,090만 달러로 분석됐는데, CryptoSlate의 분석에 따르면 이 중 약 640만 달러는 CACAO 재가격화, 약 290만 달러는 토큰 가격이 약 0.115달러에서 0.013달러로 88.7% 급락하는 과정에서 발생한 차익거래로 인한 손실이다. 마야 프로토콜 창립자 Aaluxx는 초기에 약 20 BTC와 약 30만 달러 상당의 기타 자산을 분실했으며 전액 복구를 위해 노력하겠다고 밝혔다. 마야 측은 버그 바운티 형식의 자발적 반환을 기대하고 있으며, 그것이 실패할 경우 아즈텍 체인 투자 등을 통해 약 20 BTC를 대체하는 방안을 검토 중인 것으로 알려졌다. 그러나 해당 비트코인이 반환되거나 대체되더라도 이는 전체 손실의 일부에 불과하다. 기사 작성 시점 기준으로 마야는 최종 풀 원장, 보상 조건, 그리고 CACAO 재가격화와 가격 혼란 기간 중 거래로 발생한 손실을 누가 흡수할지에 대한 공식 계획을 공개하지 않은 상태다.