Maya Protocol, una piattaforma di liquidità cross-chain costruita come fork di THORChain, ha subito un exploit sofisticato il 18 agosto 2025 che ha prosciugato circa 48.87 milioni di token CACAO e 98.82 LINK dai suoi pool di liquidità condivisi. Il furto diretto è ammontato a circa $1.7 milioni, ma i danni collaterali sono stati molto più ampi: il prezzo di CACAO è sceso di quasi l'89% e il valore totale dei pool del protocollo è diminuito di circa $10.9 milioni. CACAO è l'asset nativo della rete — l'equivalente, per Maya, di RUNE per THORChain — e funge da token di regolamento per gli swap cross-chain.

Il fondatore del protocollo, AaluxxMyth, ha confermato pubblicamente l'exploit, mentre la società di sicurezza blockchain CertiK ha segnalato gli asset rubati. La rete ha successivamente sospeso le operazioni per contenere ulteriori perdite e il team sta valutando opzioni di recupero, incluso un'offerta di bounty white-hat all'attaccante.

Come ha funzionato l'exploit

Non si è trattato di un semplice colpo e fuga. L'attaccante ha concatenato sei bug distinti nella logica di Maya Protocol, eseguendo una singola transazione contenente 23 messaggi che hanno manipolato i sistemi interni di contabilità del protocollo. È come trovare sei porte diverse non chiuse in un edificio e attraversarle tutte nell'esatta sequenza necessaria per arrivare alla cassaforte.

L'attacco ha preso di mira l'infrastruttura di liquidità condivisa di Maya, progettata per facilitare gli swap su più blockchain. I protocolli cross-chain come Maya sono intrinsecamente complessi perché devono tracciare i saldi e verificare le transazioni su reti diverse in modo simultaneo. Questa complessità amplia la superficie d'attacco e, in questo caso, sei vulnerabilità diverse erano pronte per essere sfruttate insieme.

Nel corso dell'exploit, l'attaccante ha spostato in totale 20.83 BTC, oltre ai token CACAO e LINK.

Le conseguenze sul mercato

Il prezzo di CACAO ha raccontato la storia in termini brutali. Prima dell'exploit, il token veniva scambiato a circa $0.115. Nel giro di poche ore, è crollato a circa $0.013. Non è un ribasso. È una demolizione.

Da allora il token si è parzialmente ripreso, tornando nell'area di $0.03, ma ciò rappresenta comunque un calo di circa il 74% rispetto ai livelli precedenti all'exploit. Per i fornitori di liquidità che avevano capitale impiegato nei pool di Maya, i danni vanno ben oltre i $1.7 milioni effettivamente rubati dall'attaccante. Il calo complessivo del valore dei pool di circa $10.9 milioni riflette come la liquidità sia evaporata quando è subentrato il panico e il protocollo ha sospeso le attività.

Prima dell'exploit, il total value locked (TVL) di Maya Protocol era di circa $10 milioni, il che significa che il calo del valore dei pool ha di fatto cancellato l'intero TVL del protocollo e anche oltre, considerando gli effetti a cascata sul prezzo delle posizioni denominate in CACAO.

Piani di recupero e prospettive

Il team di Maya sta perseguendo una strategia di recupero su più fronti. Il primo passo immediato è stato sospendere la rete per impedire ulteriori drenaggi. Inoltre, il protocollo sta valutando il reintegro degli asset tramite la propria Aztec Chain, che potrebbe potenzialmente essere utilizzata per compensare i fornitori di liquidità coinvolti.

Il team ha anche esteso all'attaccante un'offerta white-hat. Si tratta di una strategia comune negli exploit DeFi: restituire i fondi, trattenere una percentuale come bug bounty ed evitare conseguenze legali. A volte funziona. Euler Finance ha recuperato $197 milioni tramite un accordo simile nel 2023 e l'exploit da $320 milioni di Wormhole è stato infine risolto. Ma molti attaccanti ignorano semplicemente l'invito e spariscono con i fondi rubati.

La sfida per Maya Protocol è che, anche se l'attaccante restituisse gli asset, la fiducia è stata compromessa. I protocolli cross-chain occupano già una fascia di rischio più elevata nella percezione della maggior parte degli investitori e un exploit basato su sei bug non ispira certo fiducia nel codice. Il protocollo avrà quasi certamente bisogno di un audit completo da parte di una società di sicurezza affidabile prima di poter sperare in un ritorno significativo di capitale.

Per l'ecosistema DeFi più ampio, questo è un altro dato che si inserisce in uno schema di lungo periodo. I bridge cross-chain e i protocolli di liquidità multi-chain sono stati tra le categorie più frequentemente sfruttate nel settore cripto. Ronin Bridge ha perso $625 milioni nel 2022. Wormhole ha perso $320 milioni. Nomad ha perso $190 milioni. I $1.7 milioni di perdite dirette di Maya sono modesti per confronto, ma l'impatto proporzionale sul suo ecosistema, con la distruzione di fatto dell'intero TVL, è stato altrettanto devastante per gli utenti.

L'incidente spingerà probabilmente più capitali verso protocolli con una storia operativa più lunga e con più audit completati. Per i progetti cross-chain più recenti, la soglia per guadagnare fiducia si è appena alzata. Gli investitori che erano già prudenti nel destinare capitale ai protocolli di interoperabilità hanno ora un altro caso di studio a sostegno di questa cautela.

La capacità di Maya Protocol di ricostruire dipende interamente da ciò che accadrà in seguito: se l'offerta white-hat avrà successo, con quale rapidità il team riuscirà a correggere tutte e sei le vulnerabilità e se un audit credibile di terze parti potrà convalidare le correzioni. Il mercato cripto ha una memoria corta per i protocolli che si riprendono bene, ma una tolleranza ancora più breve per quelli che inciampano due volte.