마야 프로토콜, 버그 6개 겹친 단일 거래로 170만달러 탈취…CACAO 88.7% 급락

크로스체인 디파이(분산금융) 프로토콜 마야 프로토콜(Maya Protocol)이 8월 18일(현지시각) 여섯 개의 소프트웨어 버그가 겹친 해킹을 당해 네트워크를 긴급 정지했다. 공격자는 단 한 번의 거래로 풀 회계를 조작해 170만 달러(약 24억원, 1달러 1412원 기준) 상당의 자산을 빼갔다. 이 과정에서 정산 토큰 카카오(CACAO)는 88.7% 급락했고, 마야 풀 전체 가치는 약 1090만 달러(약 154억원)가 증발했다. 마야 공동창업자 아알럭스(Aalux)는 네트워크 정지로 추가 피해를 막았다며 복구 작업에 착수했다고 밝혔다. 블록체인 보안업체 서틱(CertiK)과 독립 연구자들은 이번 공격이 단순 피싱이 아니라 프로토콜 로직 자체의 결함을 정교하게 짚어낸 사건이라고 분석했다.

여섯 개 버그가 한 줄로 엮인 단일 거래

마야 프로토콜은 THORChain의 오픈소스 코드를 기반으로 만들어진 크로스체인 유동성 프로토콜이다. 자산을 페깅하거나 래핑하지 않고도 여러 블록체인 간 스왑을 지원한다. 네트워크의 가스·정산 토큰인 카카오는 마야의 유동성 풀에서 다른 지원 자산과 짝을 이뤄 거래된다.

서틱은 공격자가 가짜 보조금(subsidy)으로 회계를 부풀린 뒤 유동성을 넣고 빼는 방식으로 카카오 4887만 개와 링크(LINK) 98.82개를 탈취했다고 밝혔다. 독립 블록체인 보안 연구원 비니 바르보사(Vini Barbosa)와 레드스톤(RedStone) 공동창업자 마르친 카미에르차크(Marcin Kazmierczak)는 각각 별도 분석을 내놓으며 여섯 개 버그가 순차적으로 맞물려 작동했다고 설명했다. 바르보사에 따르면 공격에 쓰인 거래는 단 하나였지만 그 안에 23개의 메시지가 담겨 있었다.

가짜 입금 표시에서 99.93% 지분 탈취까지

바르보사의 기술 분석을 보면 공격자는 여러 예치 메시지를 일괄 전송해 옵저브드TX보터(ObservedTxVoter) 기록을 덮어썼다. 마지막 기부 메시지가 이전 투표 데이터를 대체하면서 아웃바운드(outbound, 외부 송금) 높이 값이 초기화됐다. 이 때문에 마야체인은 실제로 정상 처리된 외부 송금을 누락된 거래로 잘못 인식했고, 이는 도난 방지용 보상 로직을 잘못 작동시켰다.

문제는 여기서 그치지 않았다. 유동성이 적은 ARB.LINK 풀의 보조금 계산에는 실제 풀 깊이에 맞춘 상한선이 없었다. 그 결과 이 풀에는 실제 보유하지 않은 카카오 4945만 개가 회계상으로 잡혔다. 마야의 실제 준비금은 카카오 16만8000개에 불과해 이를 채우는 자금 이동은 실패했지만, 시스템은 오류를 기록만 하고 앞서 부풀려진 잔액은 되돌리지 않았다. 공격자는 이 풀에 미미한 금액의 유동성만 추가해 지분 99.93%를 확보한 뒤 마야의 자산 보관소인 아스가르드(Asgard)에서 카카오 4887만 개를 인출했다.

마야 공동창업자 아알럭스는 공격자가 약 20비트코인(약 140만 달러)과 별도로 30만 달러 상당의 자산을 탈취했다고 밝혔다. 크립토브리핑(CryptoBriefing)은 공격자가 옮긴 비트코인 규모를 20.83BTC로 집계했다.

CACAO 88.7% 급락…풀 전체는 1090만 달러 증발

바르보사는 카카오 가격이 240블록도 안 되는 짧은 시간 동안 0.115달러에서 0.013달러로 88.7% 떨어졌다고 밝혔다. 코인텔레그래프도 같은 수치를 전하며 여섯 개 버그가 연쇄 작동해 23개 메시지를 담은 거래 하나가 카카오 4887만 개를 빼갔다고 정리했다.

이 급락은 탈취 자산 170만 달러보다 훨씬 큰 파장을 낳았다. 마야 풀 전체 가치는 차익거래와 카카오 가치 폭락이 겹치며 약 1090만 달러 줄었다. 크립토브리핑은 마야의 사고 전 총예치자산(TVL)이 약 1000만 달러 수준이었다는 점에서 이번 사고가 프로토콜 TVL을 거의 전부 증발시킨 셈이라고 짚었다.

가격 회복 정도는 집계 시점마다 다르게 나타났다. 코인게코 데이터는 8월19일 카카오가 0.123달러 부근까지 오른 것으로 표시했다. 반면 크립토브리핑은 같은 무렵 카카오가 0.03달러대까지만 회복해 사고 전보다 74% 낮은 수준이라고 전했다. 유동성이 얇고 거래가 일부 중단된 상태였던 만큼 거래소별 가격 비교에는 한계가 있었다.

화이트해커 제안과 반복되는 크로스체인 리스크

아알럭스는 “완전히 고치고 복구하기 위해 노력하겠다”며 “우리는 계속 나아간다”고 밝혔다. 마야 팀은 공격자에게 탈취 자금을 돌려받는 대신 일부를 보상으로 인정하는 화이트해커 제안을 내놓았다. 별도로 아즈텍체인(Aztec Chain)을 통한 자산 보충으로 유동성 공급자 피해를 메우는 방안도 검토하고 있다고 크립토브리핑이 전했다. 다만 마야 측은 구체적인 재가동 시점을 아직 공개하지 않았다.

바르보사는 이번에 확인된 공격 경로가 현재 THORChain에서는 통하지 않는다고 밝혔다. 다만 이는 마야의 사전 분석에서 드러난 특정 버그 순서에 한정된 평가이며, 다른 취약점이 없다는 뜻은 아니라고 덧붙였다. 라우팅 서비스 리오덱스(LeoDex)는 마야가 전역 정지를 발동했다고 전하며 자체적으로 상황을 지켜본 뒤 라우팅을 재개하겠다고 밝혔다.

크로스체인 브리지·유동성 프로토콜은 올해도 반복적으로 공격 대상이 되고 있다. 앞서 8월 초에도 XRP 레저와 연결된 한 크로스체인 브리지가 입금 검증 로직 결함으로 뚫려 20만 개에 가까운 XRP가 빠져나간 사고가 있었다. 크립토브리핑은 로닌 브리지(2022년 6억2500만 달러), 웜홀(3억2000만 달러), 노마드(1억9000만 달러) 사고를 함께 짚으며 크로스체인 인프라가 가장 자주 해킹당하는 영역 중 하나라고 지적했다. 마야 사고는 탈취액 자체는 170만 달러로 작았지만 자체 유동성 대부분을 날린 비율로 보면 피해가 작지 않았다는 평가다.

이번 사고로 신규 크로스체인 프로토콜에 대한 투자자들의 문턱은 한층 높아질 전망이다. 화이트해커 제안이 통할지, 마야가 여섯 개 버그를 모두 패치하고 신뢰할 수 있는 외부 감사까지 통과할지가 다음 관전 포인트로 남았다.