Maya Protocol stoppt Netzwerk nach Exploit über $1,7 Mio. und Abfluss von 20 BTC
Wichtige Erkenntnisse
- •Maya Protocol setzte sein Netzwerk weltweit aus, nachdem ein Exploit rund $1,7 Millionen in Kryptowährungen abgezogen hatte.
- •Die Sicherheitsanalyse verknüpfte den Vorfall mit sechs interagierenden Bugs, die in einer einzelnen Transaktion mit 23 Nachrichten ausgenutzt wurden.
- •Etwa 20 BTC im Wert von rund $1,34 Millionen wurden zu einer vom Angreifer kontrollierten Bitcoin-Adresse verfolgt.
- •Maya sagte, es werde die Schwachstellen patchen, die Liquidität wiederherstellen und eine Rückgewinnung der Mittel über einen Bug-Bounty-Prozess anstreben.
- •CACAO fiel während des Angriffs um etwa 88,7%, bevor es sich teilweise erholte, da Arbitrage-Aktivitäten betroffene Pools neu bepreisten.
Maya Protocol, ein 2023 als Fork von THORChain gestartetes Cross-Chain-Liquiditätsnetzwerk, das Nutzern den direkten Tausch nativer Assets zwischen Blockchains ermöglicht, hat sein Handelsnetzwerk offline genommen, nachdem ein Angreifer eine Reihe von Softwarefehlern verkettet und rund $1,7 Millionen in Kryptowährungen abgezogen hat, wobei etwa 20 BTC den Großteil des bestätigten Verlusts ausmachten.
Aaluxx, Mitgründer von Maya, sagte, das Team werde die Schwachstellen beheben und die Liquidität nach der weltweit erfolgten Betriebspause vollständig wiederherstellen. Das Blockchain-Sicherheitsunternehmen PeckShield verfolgte getrennt davon etwa 20 BTC — im Wert von $1,34 Millionen — zu einer vom Angreifer kontrollierten Bitcoin-Adresse, während Maya weitere rund $300.000 an betroffenen Vermögenswerten schätzt.
Sechs Bugs vereint in einer Transaktion mit 23 Nachrichten
Vorläufige technische Analysen schreiben den Angriff sechs miteinander interagierenden Schwachstellen zu, die Handelskonten, die Verarbeitung ausgehender Transaktionen, Solvenzprüfungen und Berechnungen von Liquiditätspools betrafen.
Der Sicherheitsforscher Vini Barbosa führte den Großteil des Exploits auf eine einzelne Transaktion mit 23 Nachrichten zurück. Die Abfolge manipulierte Mayas Logik zur Erkennung von Diebstahl und zu Straf-Subventionen und ermöglichte es dem Angreifer, einen Pool mit geringer Liquidität aufzublähen, bevor Liquidität hinzugefügt und wieder abgezogen wurde.
Im Verlauf der Sequenz wurden etwa 48,87 Millionen CACAO aus Mayas Asgard-Modul abgezogen. Der Angreifer bewegte zudem Vermögenswerte, darunter LINK, bevor ein Teil der Position in BTC, ETH, RUNE und Stablecoins umgewandelt wurde. Rund 20,83 BTC erreichten letztlich eine externe Bitcoin-Adresse, während schätzungsweise 8,87 Millionen CACAO während der ersten Reaktion unter Kontrolle des Angreifers blieben.
Die Struktur unterscheidet sich vom Angriff im Mai auf das ebenfalls native Cross-Chain-Liquiditätsnetzwerk THORChain, bei dem ein kompromittierter Vault-Pfad zu einem Abfluss von $10,7 Millionen führte und Notfallkontrollen im Netzwerk auslöste.
CACAO stürzt während des Angriffs um 88,7% ab
CACAO, der Token, der mit jedem Vermögenswert in Mayas Liquiditätspools gepaart ist und zur Abwicklung der Cross-Chain-Swaps des Netzwerks verwendet wird, fiel während des Exploits von etwa $0,115 auf $0,013 — ein intraday Rückgang von rund 88,7% — da die Manipulation die Pool-Salden im gesamten Netzwerk verzerrte. Anschließend erholte sich der Token teilweise, da Arbitrage-Aktivitäten die betroffenen Pools neu bewerteten.
Die plötzliche CACAO-Abweichung folgt in diesem Monat einem weiteren angebotsbedingten Krypto-Schock, als Harmonys ONE um fast 40% einbrach, nachdem rund 4 Milliarden Token ohne Autorisierung erstellt worden waren. Harmony bewegte sich später in Richtung Börsen-Freigaben und eines Netzwerk-Rollbacks, während Entwickler versuchten, den Schaden einzudämmen.
Der breitere DeFi- und Cross-Chain-Infrastruktursektor hatte vor dem Maya-Angriff bereits Verluste von $816,9 Millionen durch größere Exploits im Jahr 2026 angehäuft.
Maya beschleunigt Wiederherstellungsplan für Aztec Chain
Maya arbeitet an den Patches, die zur Wiederherstellung der Swaps erforderlich sind, und hat zugesagt, Liquiditätsanbieter vollständig zu entschädigen. Aaluxx signalisierte zudem, dass der Exploit den Start von Aztec Chain beschleunigen werde, wobei die Investitionserlöse aus der geplanten Erweiterung des Ökosystems wieder in Mayas Liquiditätspools fließen sollen.
Das Team versucht außerdem, den Angreifer über eine Bug-Bounty-Vereinbarung zur Rückgabe der Mittel zu bewegen, einen im Anschluss an Exploits häufig genutzten Weg, über den DeFi-Protokolle die Rückgabe gestohlener Gelder gegen eine Auszahlung verhandeln. Aaluxx sagte, dass die Rückführung der rund 20 BTC in Mayas Pools einen großen Teil der verlorenen Liquidität wiederherstellen würde.
Für die Patches zur Wiederherstellung der Swaps, den Entschädigungsprozess oder den beschleunigten Aztec-Chain-Rollout wurde kein Zeitplan genannt. MAYAChain blieb unter einer weltweiten Betriebspause, während Entwickler die betroffenen Transaktionspfade patchten und das Netzwerk auf die Wiederaufnahme des Handels vorbereiteten.