마야 프로토콜, 110억 원 규모 유동성 사고…공격자, 20 BTC 그대로 보유
CryptoSlate2026년 8월 22일 04:050
암호화폐 디파이(DeFi) 생태계에서 중추적인 역할을 하는 마야 프로토콜(Maya Protocol)에서 발생한 110억 원 규모의 유동성 사고가 해결되지 않은 채 남아 있으며, 공격자는 사고 당시 확보한 비트코인(BTC)을 여전히 보유하고 있는 것으로 나타나 투자자들의 불안감을 증폭시키고 있습니다. 블록체인 데이터 분석에 따르면, 지난 8월 18일 발생한 이 사고의 용의자로 지목된 비트코인 주소는 8월 21일 현재까지 약 20.82 BTC를 보유하고 있으며, 외부로의 자금 이동 흔적은 발견되지 않았습니다.
SigIntZero와 같은 블록체인 분석 전문가들은 이번 공격으로 인해 공격자가 통제하는 자산 규모가 약 165만 달러에서 170만 달러(약 20억 3천만 원 ~ 21억 원)에 달하는 것으로 추정하고 있습니다. 더 나아가, 이번 사고가 마야 프로토콜의 크로스체인 유동성 프로토콜 전반에 걸쳐 약 1,090만 달러(약 134억 원)의 광범위한 피해를 야기한 것으로 분석했습니다. 그러나 마야 프로토콜 측은 사고 이후 최종적인 풀(pool) 원장, 피해 보상 조건, 그리고 CACAO 토큰 가격 재조정 및 차익거래로 인한 손실을 누가 흡수할 것인지에 대한 명확한 계획을 아직 발표하지 않은 상태입니다.
구체적인 사고 경위를 살펴보면, 해당 비트코인 주소는 8월 21일 기준으로 20.8273 BTC를 보유하고 있었으며, 단 한 차례의 외부 송금도 이루어지지 않았습니다. 공개된 비트코인 블록체인 데이터에 따르면, 총 11건의 거래가 확인되었으며, 멤풀(mempool)에는 대기 중인 거래가 없는 상태입니다. 초기 입금은 8월 18일 UTC 기준 17:32:18에 총 10건으로 20.82730682 BTC가 이루어졌으며, 이후 소량의 비트코인이 추가되어 총 잔액이 소폭 상승했습니다. 현재 비트코인 시세 기준으로 이 금액은 약 159만 달러(약 19억 6천만 원)에 달합니다.
마야 프로토콜의 설립자인 Aaluxx는 사고 초기, 네트워크가 약 20 BTC와 당시 가치로 약 140만 달러에 해당하는 금액, 그리고 추가적으로 약 30만 달러 상당의 다른 자산을 잃었을 가능성이 있다고 밝혔습니다. 그는 사고 해결과 완전한 복구를 위해 노력하겠다고 약속한 바 있습니다. 하지만 이 약속이 얼마나 실현될 수 있을지에 대한 의문이 제기되고 있습니다.
**20 BTC 복구만으로는 풀 전체를 정상화할 수 없는 이유**
SigIntZero가 수행한 기술적 재구성에 따르면, 이번 공격은 23개의 메시지로 구성된 단일 트랜잭션 내에서 연결된 6개의 회계 및 상태 처리 결함으로 인해 발생한 것으로 분석됩니다. 이 결함으로 인해 잘못된 아웃바운드 상태 정보가 기록되었고, 이는 '누락된 전송' 신호를 활성화시켜 보상 경로를 발동시킨 것으로 보입니다. 그 결과, 마야 프로토콜의 준비금에는 약 168,000 CACAO 토큰만 보유하고 있었음에도 불구하고, ARB.LINK 풀에는 약 4,945만 CACAO 토큰이 과도하게 지급되었습니다.
이러한 준비금 이전 과정은 실패했지만, 과대평가된 잔액은 그대로 유지되었습니다. 공격자는 이후 미미한 유동성을 추가한 뒤, 풀 소유권 단위의 약 99.93%를 획득했으며, 약 4,887만 CACAO를 인출하여 이를 다른 MAYAChain 풀에 보유된 자산으로 스왑했습니다. SigIntZero의 추정에 따르면, 약 136만 달러 상당의 자산이 외부 체인으로 이동했고, 약 29만 1천 달러(약 3억 5천만 원)가 MAYAChain 내에 남아 있어, 공격자가 통제하는 총 가치는 약 165만 달러에서 170만 달러에 이르는 것으로 파악됩니다.
별도로, 해당 풀은 1,090만 달러의 피해를 입었습니다. CryptoSlate의 분석에 따르면, 이 중 약 640만 달러는 CACAO 토큰 가격의 재조정으로 인한 것이며, 약 290만 달러는 차익거래로 인한 손실로 추정됩니다. CACAO 토큰은 사고 이전 약 0.115달러에서 사고 이후 0.013달러로 하락하며 88.7%의 급락세를 보였습니다.
마야 프로토콜 측은 버그 바운티(bug bounty)를 통한 자산 반환을 기대하고 있으며, 이것이 실패할 경우 아즈텍 체인(Aztec Chain) 투자 등 다른 수단을 통해 약 20 BTC를 대체하려는 움직임을 보일 수도 있습니다. 설령 이 비트코인이 반환되거나 대체된다 하더라도, 이는 발생한 피해의 일부분만을 복구하는 것에 불과합니다. 마감 시점 현재, 마야 프로토콜은 어떤 잔여 손실을 복구할 것인지, 그리고 CACAO 토큰의 가격 재조정 및 거래로 인해 발생한 손실 격차를 누가 흡수할 것인지에 대해 공개적으로 정의하지 않은 상태입니다.
이러한 불확실성은 디파이 시장 전반에 대한 투자자들의 신뢰를 더욱 흔들 수 있습니다. 마야 프로토콜의 경우, 크로스체인 유동성 허브로서 많은 사용자들의 자산을 관리하고 있다는 점에서 이번 사고의 파장은 더욱 클 수 있습니다. 공격자가 자금을 인출하지 않고 보유하고 있다는 사실은, 마야 프로토콜의 내부 보안 시스템이나 대응 프로세스에 대한 근본적인 질문을 제기하며, 향후 유사한 사고 방지를 위한 기술적, 제도적 보완이 시급함을 시사합니다. 또한, 이러한 대규모 유동성 사고는 디파이 프로토콜의 투명성 및 복원력 강화에 대한 필요성을 다시 한번 부각시키고 있습니다. 투자자들은 이번 사고의 해결 과정과 마야 프로토콜의 후속 조치를 면밀히 주시하며 투자 결정을 내려야 할 것입니다.