La rete di liquidità cross-chain Maya Protocol ha sospeso le operazioni martedì dopo che un attaccante ha sfruttato sei difetti software per sottrarre dalla rete circa 1,7 milioni di dollari in Bitcoin e altri asset.

CACAO è crollato di quasi l'89% mentre il valore dei pool di liquidità di MAYAChain scendeva di circa 10,9 milioni di dollari, e un post-mortem pubblicato dal team ha individuato sei bug che hanno creato un saldo falso in un pool di liquidità.

In un post su X in cui spiegava quanto accaduto, il fondatore di Maya Protocol AaluxxMyth, noto anche come Maya, ha detto che il team ha fermato la rete per contenere i danni e che avrebbe corretto la vulnerabilità prima di riprendere gli swap.

«Non c'è modo di edulcorare la cosa», ha scritto Maya in un post. «Siamo probabilmente stati vittime di un exploit per 20 BTC (1,4 milioni di dollari) e altri asset (300.000 dollari).»

The exploit tested us. Our response is resilience. We’re focused on actions, solutions, and rebuilding stronger. Behind the scenes, we’re still cooking. The kindness, trust, and support we’ve received from the Maya tribe has been UNBEATABLE. We couldn’t be more grateful. ❤️…

— Maya Protocol (@Maya_Protocol) August 19, 2026

Maya Protocol gestisce MAYAChain, una rete decentralizzata che consente agli utenti di scambiare criptovalute come Bitcoin ed Ethereum tra diverse blockchain senza ricorrere a un exchange centralizzato. Questo design rende la liquidità e l'integrità dei pool elementi centrali del funzionamento del protocollo, quindi un difetto nella contabilità di un pool può ripercuotersi rapidamente sugli swap e sui prezzi sull'intera rete.

In un report post-mortem, il team di Maya Protocol ha dichiarato che l'attaccante ha sfruttato sei bug per gonfiare un pool di liquidità di 49,45 milioni di CACAO, ottenendo poi il 99,93% di controllo del pool e prelevando 48,87 milioni di CACAO.

«L'attacco ha usato una singola transazione MsgDeposit composta da 23 messaggi per innescare una falsa rilevazione di 'furto', gonfiare il saldo CACAO di un pool a bassa liquidità tramite un sussidio di slashing senza tetto e poi fare subito da LP nel pool gonfiato e prelevarne il valore», hanno scritto.

Mentre l'attaccante convertiva i token in Bitcoin e altri asset, il prezzo di CACAO è crollato, limitando l'ammontare effettivamente sottratto. Il team ha stimato che l'attaccante si sia appropriato di circa 1,65 milioni di dollari in cripto-asset, di cui circa 1,36 milioni di dollari trasferiti su blockchain esterne e circa 291.000 dollari rimasti on-chain.

Il team non ha detto se ritiene che nell'attacco sia stata usata l'IA. Maya ha affermato che i bug erano rimasti non individuati per tre o quattro anni nonostante gli audit di Halborn e Fable 5, aggiungendo che il team deve adottare un approccio più avversariale nella revisione del proprio codice.

«Dobbiamo diventare ancora più avversariali e cercare primitive di codice estremamente semplici», ha scritto Maya in un post di follow-up. «Sapevamo già che il nostro lavoro era difficile, ma la missione vale la pena».

Maya Protocol ha reso pubblico l'indirizzo Bitcoin del presunto attaccante, che ha ricevuto 20,83 BTC per un valore di circa 1,34 milioni di dollari. Il team ha stimato che in totale siano stati sottratti circa 1,65 milioni di dollari e ha dichiarato di sperare che i fondi vengano restituiti in cambio di una bug bounty.

In caso contrario, Maya ha detto che il team prevede di recuperare i circa 20 BTC tramite investimenti in Aztec Chain e «altri mezzi» e di restituirli al pool colpito.

La notizia arriva dopo diversi importanti exploit DeFi degli ultimi mesi, a sottolineare come bridge, oracoli e infrastrutture cross-chain rimangano superfici di attacco frequenti per i protocolli che spostano asset tra reti. Ad aprile, degli attaccanti hanno sottratto circa 292 milioni di dollari dal bridge cross-chain di KelpDAO dopo che un attacco di social engineering ha compromesso le chiavi di sessione di uno sviluppatore. A luglio, l'exchange di perpetual basato su Arbitrum Ostium ha perso circa 18 milioni di dollari dopo che degli attaccanti hanno compromesso una chiave di firma dell'oracolo e manipolato il suo price feed. Più tardi nello stesso mese, AFX Trade è stato svuotato di circa 24 milioni di dollari in un exploit mirato a un bridge USDC gestito dall'exchange decentralizzato.