Кросчейн-мережа ліквідності Maya Protocol зупинила свою роботу у вівторок після того, як зловмисник використав шість програмних вразливостей для виведення близько $1,7 мільйона в Bitcoin та інших активах.
У дописі на X, де пояснювалося, що сталося, засновник Maya Protocol AaluxxMyth, також відомий як Maya, заявив, що команда зупинила мережу, щоб обмежити збитки, і виправить вразливість перед відновленням обмінів.
"Не буду прикрашати," – написав Maya у дописі. "Нас, ймовірно, експлуатували на 20 BTC ($1,4 млн) та інші активи ($300 тис.)."
Maya Protocol оперує MAYAChain, децентралізованою мережею, яка дозволяє користувачам обмінювати криптовалюти, такі як Bitcoin та Ethereum, між блокчейнами без використання централізованої біржі.
The exploit tested us. Our response is resilience. We’re focused on actions, solutions, and rebuilding stronger. Behind the scenes, we’re still cooking.
The kindness, trust, and support we’ve received from the Maya tribe has been UNBEATABLE. We couldn’t be more grateful. ❤️… https://t.co/xxkzprEscO
— Maya Protocol (@Maya_Protocol) August 19, 2026
У посмертному звіті команда Maya Protocol заявила, що зловмисник використав шість багів для роздування пулу ліквідності на 49,45 мільйона CACAO, потім отримав 99,93% контролю над пулом і вивів 48,87 мільйона CACAO.
“Атака використала єдину транзакцію MsgDeposit з 23 повідомленнями, щоб викликати хибне виявлення "крадіжки", роздути баланс CACAO пулу з низькою ліквідністю через необмежену субсидію скорочення, а потім негайно додала ліквідність та вивела з роздутого пулу для вилучення вартості,” – написали вони.
Коли зловмисник обмінював токени на Bitcoin та інші активи, ціна CACAO обвалилася, обмежуючи остаточну виведену суму. Команда оцінила, що зловмисник вивів близько $1,65 мільйона в криптоактивах, включаючи $1,36 мільйона, переміщених на зовнішні блокчейни, і близько $291 000, що залишилися в мережі.
Команда не повідомила, чи вважає вона, що у атаці було використано ШІ. Maya зазначив, що баги залишалися непоміченими протягом трьох-чотирьох років, незважаючи на аудити Halborn та Fable 5, додавши, що команді необхідно застосувати більш "ворожий" підхід до перевірки свого коду.
“Ми повинні стати ще більш "ворожими" і шукати надзвичайно прості кодові примітиви,” – написав Maya у наступному дописі. “Ми вже знали, що наша робота складна, але місія варта того.”
Maya Protocol опублікував адресу Bitcoin ймовірного зловмисника, на яку надійшло 20,83 BTC вартістю близько $1,34 мільйона. Команда оцінила, що всього було виведено приблизно $1,65 мільйона, і заявила, що сподівається на повернення коштів в обмін на винагороду за виявлення вразливості (bug bounty).
Якщо ні, Maya заявив, що команда планує відновити близько 20 BTC через інвестиції в Aztec Chain та "іншими засобами" і повернути їх до постраждалого пулу.
Ця новина з’явилася після кількох значних експлойтів DeFi за останні місяці.
У квітні зловмисники вивели близько $292 мільйонів з кросчейн-мосту KelpDAO після атаки соціальної інженерії, що скомпрометувала ключі сесії розробника.
У липні біржа безстрокових контрактів Ostium, що базується на Arbitrum, втратила близько $18 мільйонів після того, як зловмисники скомпрометували ключ підписанта оракула та маніпулювали його ціновим потоком. Пізніше того ж місяця з AFX Trade було виведено близько $24 мільйонів в результаті експлойту, спрямованого на міст USDC, керований децентралізованою біржею.
