Maya Protocol, 170만 달러 해킹으로 운영 중단... CACAO 88% 폭락

암호화폐 뉴스

메이야 프로토콜(Maya Protocol)이 6가지 취약점을 연쇄적으로 악용한 공격자에 의해 유동성 풀에서 약 170만 달러가 유출된 사건이 발생해 운영을 중단했다. 이로 인해 자체 알트코인인 CACAO는 88% 폭락했다. 익명의 공동 창업자 알룩스 미스(Aaluxx Myth)가 손실 사실을 공개했다. 팀에 따르면 공격자는 탈취한 CACAO를 비트코인(BTC), 이더리움(ETH) 등 다른 자산으로 교환해 메이야의 모든 유동성 풀에 자금을 분산시켰다. 이번 공격은 8월에 발생한 일련의 보안 사고 중 가장 최신 사례로, DeFi 보안에 대한 우려를 다시 불러일으키고 있다. 공격은 23개의 번들 명령을 포함한 단일 트랜잭션을 통해 실행됐으며, 이 구조로 인해 네트워크는 이미 도난이 발생했다고 판단했다. 프로토콜은 이후 풀을 복구하기 위해 움직였지만, 지급 로직에 상한선이 없어 거의 비어 있던 풀에 약 4,900만 개의 CACAO가 적립됐다. 이 적립금은 실제 자금으로 뒷받침되지 않았다. 준비금에는 16만 8,000개의 CACAO만 있었기 때문에 전송은 실패했고 부풀려진 잔액은 장부에 그대로 남았다. 공격자는 100 CACAO를 예치하고 풀의 99.93% 소유권을 확보한 뒤 4,887만 개의 CACAO를 인출했는데, 이는 토큰 총 공급량 1억 개의 절반에 가까운 수치다. 88% 폭락은 불과 몇 블록 만에 토큰 가치를 증발시켰으며, 회계 결함이 얼마나 빠르게 시장 전반의 매도세로 이어졌는지를 보여준다. CACAO는 0.115달러에서 최저 0.013달러까지 하락한 후 약 0.032달러로 반등했지만, 공격 이전 수준보다 70% 이상 하락한 상태다. 온체인 데이터에 따르면 공격자는 약 10개 블록에 걸쳐 20.83 BTC(약 134만 달러)를 단일 비트코인 주소로 전송했다. 창업자 알룩스 미스는 디스코드에서 프로젝트의 전면 중단을 선언하고 공격자에게 자금 반환을 호소했다. 디스코드를 통해 발표된 전면 중단은 팀이 공격을 조사하고 피해를 평가하는 동안 메이야의 모든 풀 활동을 동결한다.

메이야 사건은 8월에만 기록된 16번째 암호화폐 해킹이다. DefiLlama 데이터에 따르면 2026년 전체 해킹 건수는 219건, 피해액은 12억 6,000만 달러에 달한다. 이는 이미 2025년 전체 건수인 146건을 넘어선 수치다. 다만 작년의 달러 피해액은 27억 1,000만 달러로 더 컸다. 이번 사건은 계보적 측면에서도 주목할 만하다. 메이야는 5월에 1,070만 달러 규모의 공격으로 손실을 입은 크로스체인 유동성 프로토콜 THORChain에서 포크(fork)됐기 때문이다. 8월의 기록은 DeFi 취약점이 얼마나 지속적으로 발생하고 있는지를 보여준다. 공격자들은 스왑 프로토콜과 그 매개변수 로직을 점점 더 집중적으로 탐색하고 있다. 메이야의 경우, 공격은 상한선이 없는 보상 메커니즘에 기반했다. 시스템은 거의 아무것도 보유하지 않은 풀에 약 4,900만 개의 CACAO를 적립했고, 준비금에 16만 8,000개의 CACAO만 있었기 때문에 적립금은 실제로 충당되지 않았다. 공격자는 실패한 에어드롭과 유사한 이 충당되지 않은 잔액을 100 CACAO 예치로 주장해 풀의 99.93% 소유권을 확보하고 총 공급량의 거의 절반인 4,887만 개의 토큰을 인출했다. 공격자가 팀의 현상금 제안을 수락할지 여부가 손실 회수 규모를 결정할 것이다. 알룩스 미스는 또한 매도 과정에서 풀 가치를 흡수한 차익거래자들에게 연락할 것이라고 밝혀, 자금이 회수됨에 따라 최종 손실 규모가 달라질 수 있음을 시사했다. THORChain에서 포크한 프로토콜로서, 이번 사건은 상속된 코드베이스에 대한 독립적인 감사가 필요하다는 점을 강조한다. 공개적으로 보고된 사건을 기반으로 집계된 2026년 수치는 공격 빈도가 가속화된 반면 평균 달러 피해 규모는 2025년에 비해 완화되었으며, 공격자들이 대형 브리지에 집중하기보다 더 넓은 범위의 대상에 초점을 분산시키고 있음을 보여준다.

팀의 사고 공개에서 밝혀진 이번 공격의 근본 원인은 상한선이 없는 보상 지급이었다. 프로토콜은 거의 비어 있는 풀에 4,900만 개의 CACAO를 적립했고, 충당되지 않은 잔액은 공격자가 차지했다. 온체인 데이터는 그 규모를 확인한다. 4,887만 개의 CACAO가 인출되었고 20.83 BTC가 단일 주소로 전송되었으며, 이는 팀이 공개한 약 170만 달러 손실과 일치한다. 전면 중단과 현상금 제안이라는 대응책은 공격자의 반응에 달려 있으며, 아직 공개되지 않았다. 이미 올해 219건의 공격을 기록한 업계에서 이번 사건은 매개변수 검증 결함이 개인키 유출만큼이나 큰 비용을 초래할 수 있음을 상기시킨다. 역대 최고가를 기록한 알트코인도 단일 블록 만에 증발할 수 있다. 이 교훈은 스왑 프로토콜부터 Aave와 같은 대출 시장까지 DeFi 전반에 적용된다.