Кроссчейн-протокол ликвидности Maya Protocol приостановил работу после атаки, в результате которой, по предварительным оценкам, было похищено около $1,7 млн в биткоине и других криптоактивах. Псевдонимный сооснователь проекта AaluxxMyth подтвердил инцидент и сообщил, что злоумышленник вывел примерно 20 BTC — около $1,4 млн — и еще около $300 тыс. в иных активах, после чего команда активировала глобальную остановку сети, чтобы предотвратить дальнейшие потери.
Технические детали атаки. По предварительному разбору, эксплойт не был связан с одной уязвимостью: атакующий объединил шесть взаимосвязанных ошибок в торговых счетах, обработке исходящих транзакций и расчетах пулов ликвидности. Для реализации атаки использовалась одна транзакция с 23 сообщениями. Сначала злоумышленник некорректно активировал механизм защиты от кражи, затем манипулировал пулом с ограниченной ликвидностью и, завысив его стоимость, вывел 48,87 млн токенов CACAO из модуля Asgard, который хранит активы для проведения кроссчейн-свопов.
По оценке команды, около $1,36 млн было выведено на внешние блокчейны, еще около $291 тыс. осталось под контролем атакующего на MAYAChain — в виде CACAO и позиций на торговых счетах. В ходе инцидента курс CACAO, по данным независимого исследователя Вини Барбозы, рухнул на 88,7% — примерно с $0,115 до $0,013. Совокупное снижение стоимости пулов достигало $10,9 млн, однако не вся эта сумма классифицирована как украденная, поскольку в оценку также вошли арбитраж и резкая девальвация CACAO.
Реакция команды. Протокол остановил торги и свопы, разработчики уже работают над исправлением уязвимостей. В заявлении говорится, что глобальная остановка позволила локализовать ущерб. Для урегулирования ситуации команда планирует инвестировать в Aztec Chain, а также объявила bug bounty — вознаграждение хакеру за возврат средств. Сроки полного восстановления свопов пока не раскрыты.
Инцидент с Maya Protocol продолжает череду атак на кроссчейн-инфраструктуру. В мае 2026 года THORChain приостанавливал торговлю после эксплойта более чем на $10 млн, позже возобновив работу с дополнительными мерами безопасности; тогда же Transit Finance потерял около $1,88 млн. В июне Axelar отключал мостовые маршруты Secret Network после взлома примерно на $4,7 млн. Эти случаи усиливают давление на DeFi-протоколы в части аудита и управления рисками смарт-контрактов.
