Wie der Angriff gelang
Diese Woche wurde Maya Protocol von einem Hackerangriff getroffen, bei dem der Angreifer eine Schwachstelle ausnutzte, die ein tieferes Problem offenbarte: Abwehrwerkzeuge hinken bei der Bewältigung komplexer Angriffe hinterher. Die Blockchain-Sicherheitsfirma CertiK schätzt den direkten Verlust auf etwa 1,7 Millionen US-Dollar. Der Angreifer brachte Maya dazu, nicht existierende Subventionen auszugeben, und extrahierte durch wiederholtes Hinzufügen und Entfernen von Liquidität Vermögenswerte aus dem gemeinsamen Pool.
CertiK identifizierte den Vorfall am 19. August. Der Angreifer verzerrte durch falsche Subventionen die internen Konten von Maya und extrahierte anschließend durch Anpassung der Liquiditätspositionen etwa 48,87 Millionen CACAO und 98,82 LINK. Die Hacker- und Schwachstellen-Datenbank von DefiLlama klassifizierte den am 18. August aufgetretenen Vorfall als "Protokoll-Logik-Schwachstelle" mit einem Verlust von 1,7 Millionen US-Dollar.
Der tatsächliche Schaden geht jedoch weit darüber hinaus. Der Entwickler Vini Barbosa bezeichnete es als "komplexe sechsfache Schwachstellen-Kettenausnutzung", die harte Vermögenswerte von über 1,36 Millionen US-Dollar aus dem Protokoll extrahierte, aber aufgrund des Zusammenbruchs des CACAO-Preises belief sich die Gesamtauswirkung auf fast 11 Millionen US-Dollar. Er sagte, CACAO fiel in weniger als 240 Blöcken von 0,115 US-Dollar auf 0,013 US-Dollar, ein Rückgang von fast 89%.
Einer der Gründer von Maya, Aaluxx, räumte den Verlust am selben Tag ein und fügte hinzu, dass das Team "sich bemühen werde, es zu beheben und vollständig zurückzufordern".
Das Muster, das THORChain bereits erlebt hat
Maya ist ein freundlicher Fork von THORChain, das im Mai einen Hackerangriff mit 10,7 Millionen US-Dollar erlitt. Die Nachbesprechung von THORChain zeigte, dass ein neuer Node-Betreiber eine Schwachstelle im GG20-Schwellenwertsignatursystem des Netzwerks ausnutzte, und die Solvenzprüfung des Systems das Problem erst nach dem Ende des Angriffs entdeckte.
Aaluxx stellte anschließend im Community-Podcast von THORChain klar, dass dieser Angriff auf drei alten Schwachstellen basierte, die einzeln betrachtet nicht gefährlich sind, aber in Kombination problematisch werden können. Er sagte auch, dass Maya denselben potenziellen Defekt aufweist.
Um die Angriffsursache zu ermitteln, führte das Team eine äußerst gründliche forensische Untersuchung durch, indem es die kryptografischen Konfigurationsparameter überprüfte und nach kleinen Primzahlen suchte, die nicht vorhanden sein sollten, um die kompromittierten Tresore zu lokalisieren. Dies offenbarte ein allgemeines Dilemma für Verteidiger: Einfache Saldenmonitore können Verluste erst erkennen, wenn das Geld bereits den Besitzer gewechselt hat, und dann ist es möglicherweise zu spät, um den Angriff zu stoppen.
Was die Aufrüstung der Verteidigung wirklich bedeutet
Aaluxx warnte, dass KI-Technologie es kleinen Teams ermöglicht, Codebasen gleichzeitig aus mehr Blickwinkeln zu überprüfen, was für Verteidiger von Vorteil ist, aber auch Angreifern ermöglicht, einzigartige Schwachstellen zu entdecken, die bestehende Prüfprozesse möglicherweise übersehen.
Die von ihm gewählte Lösung ist Redundanz, nicht die Abhängigkeit von einem einzigen System. Maya und THORChain haben sich nicht für eine Integration entschieden, sondern bleiben unabhängig. So konnte Maya, selbst wenn THORChain für Wochen ausfällt, weiterhin Umtauschvorgänge über einen verifizierten gesunden Tresor ausführen.
Dieser Vergleich ist besonders interessant, da die Nachbesprechung von THORChain darauf hinwies, dass die Grundursache kein dramatischer Defekt war, sondern drei alte Schwachstellen, die sich verketten. THORChain stellte auch klar, dass derselbe potenzielle Defekt auf Maya vorhanden war, aber zuvor nicht ausgenutzt wurde.
Vergleich der Sicherheitsvorfälle: Maya vs. THORChain
| Kennzahl | Maya Protocol / MAYAChain | THORChain |
|---|---|---|
| Zeitpunkt des Vorfalls | 18. August 2026, 17:30 UTC | 15. Mai 2026 |
| Verlust | Gesamtwert für Angreifer ca. 1,7 Mio. US-Dollar, ca. 1,36 Mio. US-Dollar auf externe Chains extrahiert | ca. 10,7 Mio. US-Dollar aus einem Tresor abgeflossen |
| Betroffene Vermögenswerte | 20,83 BTC + 48,87 Mio. CACAO und andere Vermögenswerte | BTC, ETH, BNB und Base-Chain-Vermögenswerte |
| Grundursache | Sechs verkettete Schwachstellen im Zusammenhang mit Trade Account und Outbound-Liquiditätslogik, Ausnutzung von Interaktionen zwischen nicht-katastrophalen Bugs | Kettenausnutzung von drei alten Schwachstellen, einschließlich einer Schwachstelle im GG20-Schwellenwertsignaturschema |
| Erkennung/Reaktion | Angriffsaktivität löste Notfall-Pause aus, aber der Angreifer hatte die Ausnutzung abgeschlossen, bevor das Netzwerk gestoppt wurde | On-Chain-Ermittler wie ZachXBT und PeckShield markierten verdächtige Aktivitäten, danach stoppte THORChain automatisch die Signierung/Transaktionen |
| Protokollbeziehung | MAYAChain ist ein freundlicher Fork von THORChain und teilt den Großteil der Architektur/des Codes | Ursprüngliches Cross-Chain-Liquiditätsprotokoll |
| Sicherheitslektion | Mehrere einzeln kontrollierbare Bugs können katastrophal werden, wenn sie mit Liquiditäts-/Buchhaltungs- und Outbound-Liquiditätsschwächen kombiniert werden | Redundanz, automatische Erkennung und Signaturkontrolle können den Explosionsradius eines kompromittierten Tresors begrenzen |
Wie können sich DeFi-Protokolle vor Kettenausnutzungen schützen?
Protokolle müssen die Interaktionen zwischen Sicherheitskontrollen testen, nicht nur einzelne Schwachstellen. Der Maya-Vorfall zeigt, wie falsche Diebstahlerkennung, fehlerhafte Outbound-Transaktionsverarbeitung und Liquiditätsbuchhaltungsfehler in Kombination gefährlich werden können. Eine robustere Verteidigung sollte Invariantentests, adversariale Simulationen von mehrstufigen Angriffspfaden, unabhängige Prüfung der Buchhaltungslogik, Echtzeit-Anomalieerkennung und automatische Schutzschalter für ungewöhnliche Abhebungen oder Pool-Salden umfassen. In diesem Monat veröffentlichte Forschung befürwortet ebenfalls mehrschichtige Erkennung und Verteidigung anstelle der Abhängigkeit von einem einzigen Sicherheitsmechanismus.
Zeitleiste des Angriffs
Bezüglich der Datumsunterschiede gibt es eine spezifische Zeitzonenerklärung: Einige Datenanbieter markierten den Vorfall als 19. August (UTC+8), was dem Abend des 18. August UTC entspricht. Daher ist der von einigen Datenanbietern markierte 19. August tatsächlich das Datum der Erstellung oder Aktualisierung des Datensatzes.
Daten auf Blockebene zeigen die Angriffskette:
- Block 17.977.941: Ausführung der Exploit-Transaktion mit 23 Nachrichten, die sechs Schwachstellen-Kette startet.
- Block 17.977.971: Der Angreifer fügt/entfernt Liquidität im manipulierten Pool und extrahiert etwa 48,87 Millionen CACAO.
- Blöcke 17.977.998–17.978.008: CACAO wird schnell in BTC umgetauscht, 20,83 BTC werden nach außen transferiert.
- Block 17.978.094: CACAO fällt auf den Tiefststand nach dem Angriff, etwa 88,7% unter dem Niveau vor dem Angriff.
- Block 17.978.500+: Teilweise Erholung beginnt, CACAO steigt auf etwa 0,03 US-Dollar.
Schadensbegrenzung und Branchenkontext
Branchendaten zeigen die Bedeutung einer verstärkten Verteidigung. TRM Labs berichtete, dass es in der ersten Hälfte des Jahres 2026 im Kryptobereich 207 Hackerangriffe gab, ein Rekord für ein Halbjahr, und wies darauf hin, dass Smart Contracts zunehmend auf vielfältige Weise angegriffen werden, nicht nur durch eine einzelne Schwachstelle. Der Maya-Vorfall passt vollständig zu diesem Trend.
Die Schlussfolgerung ist, dass DeFi-Sicherheit nicht gewährleistet werden kann, wenn spezifische Schwachstellen nicht identifiziert und behoben werden. Protokolle müssen mehrschichtige Überwachung, mehrere unabhängige Prüfmechanismen, Notfall-Schnellstopp-Mechanismen und die Implementierung von Fixes implementieren, bevor verdächtige Transaktionen irreversibel werden.
Maya will nicht nur das aktuelle Problem lösen. Aaluxx sagte, das Unternehmen plane, die Entwicklung von Aztec Chain zu beschleunigen – ein Omnichain-DeFi-Projekt, das auf den Lehren aus Maya, THORChain und Rujira basiert. Wenn diese Lehren helfen, bessere Lösungen zu bauen, anstatt einfach den Kreislauf des Flickens von Schwachstellen neu zu starten, könnte der Wert des Maya-Vorfalls weit über den Verlust von 1,7 Millionen US-Dollar hinausgehen.
