Das Crosschain-Liquiditätsnetzwerk Maya Protocol hat am Dienstag den Betrieb eingestellt, nachdem ein Angreifer sechs Software-Fehler ausgenutzt hatte, um rund 1,7 Millionen Dollar in Bitcoin und anderen Vermögenswerten aus dem Netzwerk abzuziehen.

CACAO stürzte um fast 89 Prozent ab, während der Wert der Liquiditätspools von MAYAChain um rund 10,9 Millionen Dollar sank; ein vom Team veröffentlichter Post-Mortem-Bericht identifizierte sechs Bugs, die ein falsches Guthaben in einem Liquiditätspool erzeugten.

In einem Beitrag auf X zu den Geschehnissen sagte Maya-Protocol-Gründer AaluxxMyth, auch bekannt als Maya, dass das Team das Netzwerk zur Eindämmung des Schadens eingestellt habe und die Schwachstelle beheben werde, bevor Swaps wieder aufgenommen würden.

„Das lässt sich nicht beschönigen“, schrieb Maya in einem Beitrag. „Wir wurden wohl um 20 BTC (1,4 Mio. $) und andere Assets (300.000 $) erleichtert.“

The exploit tested us. Our response is resilience. We’re focused on actions, solutions, and rebuilding stronger. Behind the scenes, we’re still cooking. The kindness, trust, and support we’ve received from the Maya tribe has been UNBEATABLE. We couldn’t be more grateful. ❤️…

— Maya Protocol (@Maya_Protocol) August 19, 2026

Maya Protocol betreibt MAYAChain, ein dezentrales Netzwerk, über das Nutzer Kryptowährungen wie Bitcoin und Ethereum ohne zentrale Börse blockchainübergreifend tauschen können. Dieses Design macht Liquidität und die Integrität der Pools zu zentralen Elementen der Protokollfunktion, sodass ein Fehler in der Pool-Buchhaltung schnell Swaps und die Preisbildung im gesamten Netzwerk beeinträchtigen kann.

In einem Post-Mortem-Bericht erklärte das Team hinter Maya Protocol, der Angreifer habe sechs Bugs ausgenutzt, um einen Liquiditätspool um 49,45 Millionen CACAO aufzublähen, anschließend 99,93 Prozent Kontrolle über den Pool erlangt und 48,87 Millionen CACAO abgehoben.

„Der Angriff nutzte eine einzelne MsgDeposit-Transaktion mit 23 Nachrichten, um eine falsche ‚Diebstahl‘-Erkennung auszulösen, das CACAO-Guthaben eines Pools mit geringer Liquidität über eine unbegrenzte Slash-Subvention aufzublähen und dann unmittelbar in den aufgeblähten Pool einzuzahlen und daraus abzuheben, um den Wert zu extrahieren“, schrieben sie.

Als der Angreifer die Tokens gegen Bitcoin und andere Assets tauschte, brach der Kurs von CACAO ein, was den letztlich entwendeten Betrag begrenzte. Das Team schätzte, dass der Angreifer rund 1,65 Millionen Dollar an Krypto-Assets mitnahm, darunter 1,36 Millionen Dollar, die auf externe Blockchains verschoben wurden, und etwa 291.000 Dollar, die weiterhin on-chain lagen.

Das Team ließ offen, ob es davon ausgeht, dass beim Angriff KI zum Einsatz kam. Maya erklärte, die Bugs seien trotz Audits von Halborn und Fable 5 drei bis vier Jahre unentdeckt geblieben, und fügte hinzu, dass das Team seinen Code künftig adversarialer prüfen müsse.

„Wir müssen noch adversarialer vorgehen und nach extrem einfachen Code-Primitiven suchen“, schrieb Maya in einem Folgebeitrag. „Wir wussten bereits, dass unsere Aufgabe schwierig ist, aber die Mission ist es wert.“

Maya Protocol veröffentlichte die Bitcoin-Adresse des mutmaßlichen Angreifers, auf die 20,83 BTC im Wert von rund 1,34 Millionen Dollar eingingen. Das Team schätzte den Gesamtverlust auf rund 1,65 Millionen Dollar und erklärte, es hoffe, die Mittel im Gegenzug für eine Bug-Bounty zurückzuerhalten.

Andernfalls, so Maya, plant das Team, die rund 20 BTC über Investitionen in Aztec Chain und „andere Wege“ zurückzugewinnen und an den betroffenen Pool zurückzuzahlen.

Die Nachricht reiht sich in eine Reihe großer DeFi-Exploits der vergangenen Monate ein, die zeigen, dass Bridge-, Oracle- und Crosschain-Infrastruktur für Protokolle, die Assets zwischen Netzwerken bewegen, weiterhin häufige Angriffsflächen darstellen. Im April zapften Angreifer rund 292 Millionen Dollar von der Crosschain-Bridge von KelpDAO ab, nachdem ein Social-Engineering-Angriff Sitzungsschlüssel eines Entwicklers kompromittiert hatte. Im Juli verlor die auf Arbitrum basierende Perpetuals-Börse Ostium rund 18 Millionen Dollar, nachdem Angreifer einen Signerschlüssel des Oracles kompromittiert und dessen Preis-Feed manipuliert hatten. Noch im selben Monat wurde AFX Trade bei einem Exploit auf eine von der dezentralen Börse betriebene USDC-Bridge um rund 24 Millionen Dollar erleichtert.