Maya Protocol 취약점 공격으로 MAYAChain 유동성 풀, 1,090만 달러 규모 붕괴

MAYAChain을 기반으로 구축된 크로스체인 유동성 프로토콜 Maya Protocol은 DeFi 보안 사고가 한 풀에만 머무는 경우가 거의 없다는 사실을 다시 한 번 보여줬다. 소프트웨어 결함으로 네트워크가 거래를 중단한 뒤, 영향을 받은 유동성 풀의 가치가 약 1,090만 달러 증발했고, 공격자는 연쇄적인 조작을 통해 자산을 빼내며 회계가 무너질 때 자동화된 시장 인프라가 얼마나 취약해질 수 있는지를 드러냈다.

더 넓은 DeFi 보안 동향을 지켜보는 사용자라면 이번 사건이 특히 중요하다. 단순히 한 개의 핫월렛에서 자금이 빠져나간 수준이 아니었기 때문이다. 프로토콜 로직, 풀 회계, 시장 가격, 그리고 그에 뒤따르는 차익거래 압력이 복합적으로 얽힌 다층적 실패였다.

MAYAChain에서 무슨 일이 있었나

이번 공격은 공격자가 특정 유동성 풀의 잔고를 부풀려 네트워크가 잘못 인식하도록 만든 일련의 소프트웨어 결함에서 시작됐다. 쉽게 말해, 해당 풀은 실제로는 약 16만 8,000 CACAO만 보유하고 있었는데도, 자신이 약 4,900만 CACAO를 가진 것으로 착각하게 된 것이다.

이 불일치가 공격의 틈을 열었다. 공격자는 비교적 값싼 자산을 예치한 뒤 풀 지분의 99% 이상을 확보했고, 이후 거의 4,887만 CACAO를 인출했다. 그렇게 빠져나간 토큰은 나중에 BTC와 ETH를 포함한 자산으로 교환됐다.

온체인 추적 결과, 공격자는 당시 약 134만 달러 상당의 20.83 BTC와 기타 자산을 옮긴 것으로 보인다. 직접 실현한 이익은 약 165만 달러로 추정되며, 약 887만 CACAO는 여전히 공격자 지갑에 남아 있는 것으로 알려졌다.

프로토콜을 더 폭넓게 이해하고 싶은 독자라면 공식 Maya Protocol 사이트가 좋은 출발점이 된다.

왜 헤드라인 손실 규모가 탈취액보다 훨씬 큰가

이번 사건에서 가장 중요한 점은 1,090만 달러의 “풀 증발” 수치가 곧바로 순수한 탈취 금액을 뜻하는 것은 아니라는 사실이다.

가치 하락의 상당 부분은 직접적인 자금 유출이 아니라 시장 훼손에서 비롯됐다. 확인 가능한 온체인 분석에 따르면:

• 약 640만 달러의 손실은 CACAO 가격 급락에서 발생했다
• 약 290만 달러는 차익거래 활동이 풀의 가치를 빼내면서 생겼다
• 나머지는 공격 자체와 그로 인한 불균형에 따른 것이었다

이 구분은 중요하다. DeFi에서는 공격자가 실제로 챙긴 이익이 겉으로 보이는 풀 손실보다 훨씬 작더라도, 프로토콜이 심각한 대차대조표 충격을 입을 수 있다. 한 번 풀 가격이 왜곡되면 차익거래 봇이 빠르게 자본을 재배치하고, 이후 시장이 나머지 손실을 더 키우는 경우가 많다.

CACAO 가격은 그 충격을 즉시 반영했다. 약 0.115달러에서 최저 0.013달러 안팎까지 떨어지며 거의 89% 급락한 뒤, 이후 약 0.03달러 수준으로 회복했다.

왜 크로스체인 유동성 프로토콜이 특히 취약한가

크로스체인 유동성 시스템은 회계, 라우팅, 최종성, 자산 가격, 풀 지분 계산 등 까다로운 문제들이 겹치는 지점에 놓여 있다. 이 중 어느 한 계층이라도 무너지면 그 충격은 시스템 전체로 연쇄 확산될 수 있다.

이 때문에 2025년에는 프로토콜 감사, 형식 검증, 런타임 모니터링이 더욱 중요하다. DeFi 활동이 비트코인 네이티브 유동성, EVM 네트워크, 옴니체인 인프라 전반으로 퍼져 나가면서, 공격 표면은 많은 팀이 방어를 강화하는 속도보다 더 빠르게 커지고 있다.

문제는 스마트 컨트랙트 코드만이 아니다. 네트워크가 잔고를 어떻게 기록하고, 자산을 어떻게 평가하며, 청구권을 어떻게 정산하는지에 대한 가정도 중요하다. 그 가정이 무너지면, 사소해 보이는 논리적 버그 하나가 과도하게 큰 손실로 이어질 수 있다.

더 넓은 보안 맥락을 이해하는 데는 NIST 블록체인 개요가 분산 시스템이 왜 단순함 대신 조합 가능성과 위험을 거래하는지 설명하는 유용한 참고 자료다.

팀은 어떻게 대응했나

Maya Protocol의 창립자는 피해 확산을 막기 위해 모든 거래를 중단했다고 밝혔으며, 복구와 수정 작업을 준비하고 있다고 전했다. 또한 공격자가 자산을 자발적으로 반환하도록 유도하는 바운티 방식의 합의를 통해 자금 회수를 시도하겠다는 뜻도 내비쳤다.

만약 회수가 이뤄지지 않으면, 프로토콜은 Aztec Chain 관련 계획에 묶인 투자 수익을 통해 약 20 BTC 규모의 손실을 상쇄하는 방안을 검토할 수 있다.

이 같은 대응은 대형 DeFi 사고에서 이제 흔한 방식이다. 우선 활동을 멈추고, 취약한 로직을 수정한 뒤, 회수·보상·재무 기반 보전이 가능한지 판단하는 흐름이다. 물론 문제는, 중단 시간이 길어질수록 신뢰가 약화되고 자본 이탈이 가속될 수 있다는 점이다.

유동성 공급자와 트레이더가 배워야 할 점

이런 사고는 대체로 DeFi 노출을 수동적 수익원이 아니라 관리해야 할 리스크로 보는 사용자에게 유리하게 작용한다.

실용적인 시사점은 다음과 같다.

• 큰 규모의 풀이라고 해서 자동으로 안전하다고 생각하지 말 것
• 프로토콜이 복잡한 크로스체인 회계에 의존하는지 확인할 것
• 컨트랙트 수준의 공격만이 아니라 갑작스러운 토큰 가격 왜곡도 주시할 것
• 투기성 자금과 장기 보유 자산은 분리할 것
• 적극적으로 사용 중인 프로토콜에 둘 필요가 없는 자산은 셀프 커스터디를 우선할 것

BTC, ETH, 그리고 기타 장기 보유 자산의 경우 하드웨어 월렛을 사용하면 프로토콜 측 사고가 개인 손실로 이어질 가능성을 줄일 수 있다. OneKey 같은 셀프 커스터디 기기는 자주 체인을 오가는 사용자에게 특히 유용한데, 서명 키를 브라우저 세션과 분리해 보관하고, 손상된 인터페이스나 악성 승인으로부터의 노출을 줄이는 데 도움이 되기 때문이다.

마무리 생각

Maya Protocol 사건은 DeFi 리스크가 코드 리스크와 시장 구조 리스크의 결합이라는 점을 다시 한 번 상기시킨다. 공격자는 보이는 풀의 전체 가치를 훔치지 않아도 심각한 피해를 일으킬 수 있었다. 회계 계층이 무너지자 시장이 곧바로 손실을 증폭시켰기 때문이다.

크로스체인 유동성이 계속 확대되는 만큼, 사용자는 APY만큼이나 커스터디와 운영 보안에도 주의를 기울여야 한다. 이처럼 변동성이 큰 환경에서는 개인 키를 보호하고 활성 프로토콜 잔고에 대한 노출을 최소화하는 것이 여전히 가장 믿을 만한 방어 수단 중 하나다.