Maya Protocol stracił 1,7 mln USD w ataku hakerskim

Maya Protocol wstrzymał operacje po ataku przeprowadzonym w sierpniu, w którym wykorzystano sześć powiązanych błędów i wyprowadzono około 1,7 mln USD z protokołu płynności.

Atak zrealizowano jako jedną transakcję zawierającą 23 oddzielne instrukcje. Taka sekwencja spowodowała błędne przypisanie środków przez mechanizmy protokołu. W trakcie próby rekompensaty system wykonał wypłatę bez limitu górnego, przez co do puli przypisano około 49 mln tokenów CACAO, mimo że rezerwa protokołu wynosiła zaledwie 168 000 CACAO. Przypisanie nie zostało pokryte rzeczywistym transferem, a zawyżone saldo pozostało w systemie.

Wykorzystując sztucznie zawyżone saldo, sprawca zdeponował 100 CACAO w tej puli, uzyskał 99,93% udziałów i wypłacił 48,87 mln CACAO, co stanowiło niemal połowę całkowitej podaży 100 mln tokenów. Część skradzionych tokenów została zamieniona na Bitcoin, Ethereum i inne aktywa. Na jeden adres Bitcoin wysłano 20,83 BTC o wartości około 1,34 mln USD w ciągu blisko dziesięciu bloków.

Cena tokena CACAO spadła z około 0,115 USD do 0,013 USD po ataku, a następnie odbiła do około 0,032 USD. Pseudonimowy współzałożyciel projektu, podpisujący się jako Aaluxx Myth, ogłosił na Discordzie globalne wstrzymanie protokołu, zaapelował o zwrot środków i zaproponował nagrodę za ich odzyskanie. Zespół zapowiedział też kontakt z traderami arbitrażowymi, którzy mogli przejąć wartość z puli podczas ataku.

Odzyskanie aktywów zależy od przyjęcia propozycji zwrotu przez sprawcę oraz od współpracy podmiotów biorących udział w późniejszych transferach. Projekt prowadzi analizę zdarzenia i kontaktuje się z odpowiednimi stronami w celu ograniczenia dalszych strat.

W szerszym kontekście, dane wskazują na wzrost liczby incydentów w sektorze zdecentralizowanych finansów w 2026 roku. Do tej pory odnotowano 219 ataków o łącznej wartości około 1,26 mld USD; w 2025 roku zgłoszono 146 incydentów o łącznej wartości 2,71 mld USD. Sam sierpień przyniósł 16 odrębnych ataków. Maya Protocol jest forkiem THORChain; ten ostatni stracił 10,7 mln USD w maju.

Zespołowi Maya pozostaje wyjaśnienie technicznych przyczyn incydentu, w tym braku limitu przy przyznawaniu rekompensat oraz mechaniki, która pozwoliła zdobyć dominujący udział w małej puli. Przywrócenie normalnych operacji będzie zależało od wyników śledztwa i ewentualnego odzyskania części aktywów.