Кратко
- Протокол Maya остановил MAYAChain после того, как злоумышленник вывел примерно 1,7 миллиона долларов в биткоинах и других активах.
- Посмертный анализ выявил шесть ошибок, которые создали ложный баланс в пуле ликвидности.
- CACAO упал почти на 89%, так как стоимость пулов ликвидности MAYAChain снизилась примерно на 10,9 миллиона долларов.
Кроссчейн-сеть ликвидности Maya Protocol приостановила работу во вторник после того, как злоумышленник использовал шесть программных ошибок, чтобы вывести примерно 1,7 миллиона долларов в биткоинах и других активах.
В посте на X, объясняющем произошедшее, основатель Maya Protocol АалуксМиф, также известный как Майя, сказал, что команда остановила сеть, чтобы сдержать ущерб, и исправит уязвимость перед возобновлением обменов.
«Невозможно приукрасить это», — написала Maya в посте. «По всей видимости, нас эксплуатировали на 20 BTC (1,4 млн долларов) и другие активы (300 тыс. долларов)».
Maya Protocol управляет MAYAChain — децентрализованной сетью, которая позволяет пользователям обменивать криптовалюты, такие как Биткоин и Эфириум, между блокчейнами без использования централизованной биржи.
Эксплойт испытал нас. Наш ответ — устойчивость. Мы сосредоточены на действиях, решениях и восстановлении более сильными. За кулисами мы всё ещё готовим.
Доброта, доверие и поддержка, которые мы получили от племени Maya, были НЕПРЕВЗОЙДЕННЫМИ. Мы не можем быть более благодарными. ❤️… https://t.co/xxkzprEscO
— Maya Protocol (@Maya_Protocol) 19 августа 2026 г.
В отчете о посмертном анализе команда Maya Protocol сообщила, что злоумышленник использовал шесть ошибок, чтобы раздуть пул ликвидности на 49,45 миллиона CACAO, затем получил контроль над 99,93% пула и вывел 48,87 миллиона CACAO.
«Атака использовала одну транзакцию MsgDeposit с 23 сообщениями, чтобы вызвать ложное обнаружение "кражи", раздуть баланс CACAO в пуле с низкой ликвидностью через неограниченную субсидию на сокращение, а затем немедленно внести ликвидность и вывести из раздутого пула, чтобы извлечь ценность», — написали они.
Когда злоумышленник обменял токены на биткоин и другие активы, цена CACAO резко упала, ограничив окончательную сумму извлечения. Команда оценила, что злоумышленник забрал примерно 1,65 миллиона долларов в криптоактивах, включая 1,36 миллиона долларов, переведенных на внешние блокчейны, и около 291 000 долларов, оставшихся в сети.
Команда не сообщила, считает ли она, что в атаке использовался ИИ. Maya заявила, что ошибки оставались незамеченными в течение трех-четырех лет, несмотря на аудиты Halborn и Fable 5, добавив, что команде необходимо применять более враждебный подход к проверке своего кода.
«Мы должны стать еще более враждебными и искать чрезвычайно простые примитивы кода», — написала Maya в последующем посте. «Мы уже знали, что наша работа сложна, но миссия стоит того».
Maya Protocol опубликовала биткоин-адрес предполагаемого злоумышленника, на который поступило 20,83 BTC на сумму около 1,34 миллиона долларов. Команда оценила, что всего было похищено примерно 1,65 миллиона долларов, и выразила надежду, что средства будут возвращены в обмен на вознаграждение за обнаружение ошибки.
Если нет, Maya заявила, что команда планирует вернуть примерно 20 BTC через инвестиции в Aztec Chain и «другие средства» и вернуть их в пострадавший пул.
Эта новость появилась после нескольких крупных эксплойтов в DeFi за последние месяцы.
В апреле злоумышленники вывели примерно 292 миллиона долларов из кроссчейн-моста KelpDAO после атаки социальной инженерии, которая скомпрометировала ключи сеанса разработчика.
В июле биржа перпетуалов на базе Arbitrum Ostium потеряла примерно 18 миллионов долларов после того, как злоумышленники скомпрометировали ключ подписи оракула и манипулировали его ценовым фидом. Позже в том же месяце AFX Trade была выведена примерно 24 миллиона долларов в результате эксплойта, нацеленного на USDC мост, управляемый децентрализованной биржей.
