크로스체인 유동성 프로토콜 마야 프로토콜(Maya Protocol)이 8월 18일 약 170만 달러 규모의 해킹 공격을 당했다. THORChain 포크인 마야가 2023년 4월 메인넷을 가동한 이후 처음 겪는 대규모 자금 유출 사고다. 공격은 UTC 기준 17시 30분경 발생했으며, 초기 기술 분석에 따르면 트레이드 계정 처리, 아웃바운드 트랜잭션 처리, 유동성 풀 회계에 걸친 6개 버그가 연쇄적으로 악용된 것으로 나타났다.
공격자는 23개의 메시지를 하나의 트랜잭션에 담아 도난 감지 플래그를 허위로 발동시키고, 유동성이 낮은 풀을 인위적으로 부풀린 뒤 마야의 아스가르드(Asgard) 모듈에서 약 4,887만 개의 CACAO 토큰을 인출했다. 외부 체인으로 확인된 유출 규모는 비트코인, ARB 기반 토큰, 네이티브 CACAO를 합쳐 약 136만 달러이며, 온체인에 남은 잔여분까지 포함하면 공격자가 확보한 가치는 170만 달러에 육박한다. 탈취된 자금이 다른 자산으로 스왑되는 과정에서 CACAO 가격은 약 0.115달러에서 0.013달러 부근까지 88% 가까이 폭락했다가, 이후 0.03달러대로 일부 회복했다.
체인 정지와 포상금 제안으로 대응
공격 직후 검증인들은 마야의 체인 정지(halt) 플래그를 활성화해 영향을 받은 풀의 입출금을 동결시켰고, 이를 통해 개발팀이 조사할 시간을 확보했다. 창업자 아알럭스미스(AaluxxMyth)는 X를 통해 직접 사고를 인정하며 신속하게 대응한 노드 운영자들에게 감사를 표했고, 팀이 이미 취약점을 파악해 패치를 준비 중이며 피해를 입은 사용자들에게 보상하겠다고 밝혔다. 공격자에게는 화이트해커 제안도 내놓았다. 탈취한 자금을 반환하고 취약점을 공개하면 추적 대신 포상금을 지급하겠다는 것이다.
같이 보면 좋은 기사: 팰컨 파이낸스, 엘살바도르서 규제받는 GPU 토큰화 상품 출시
THORChain 5월 해킹의 재연
이번 사고는 마야가 포크한 원조 프로토콜 THORChain이 2026년 5월 약 1,080만 달러 규모의 해킹을 당한 지 불과 3개월 만에 벌어졌다. 당시 사고로 크로스체인 활동이 13시간 동안 마비됐고, 1만 2,000개가 넘는 피해 지갑을 위한 전용 복구 포털까지 마련됐었다. 공격자에게 탈취 자금 일부를 대가로 나머지를 반환받는 화이트해커 협상은 이제 THORChain 생태계에서 일회성 대응이 아니라 반복되는 전략으로 자리 잡은 모습이다. 다만 THORChain은 그 사고 이후 자체 버그 바운티 프로그램 운영 방식을 두고 보안 연구자들의 비판을 별도로 받기도 했다.
THORChain 파생 프로토콜에 남긴 신호
마야의 6중 버그 사태는 이미 한 차례 모기업 프로토콜에 타격을 입힌 것과 같은 유형의 크로스체인 유동성 로직에서 발생했다. 이는 THORChain 포크들이 공유하는 기반 아키텍처에, 개별 포크들이 미처 걸러내지 못한 위험이 남아 있음을 시사한다. 화이트해커 제안의 성사 여부는 CACAO와 마야 유동성 풀에 대한 신뢰 회복 속도를 좌우할 가능성이 크다. 한 해 동안 연관된 두 프로토콜에서 반복된 이번 패턴은 THORChain 기반 코드베이스가 아웃바운드 트랜잭션과 풀 회계의 예외 상황을 처리하는 방식에 더 면밀한 감시를 불러올 것으로 보인다.
