Maya Protocol, una rete di liquidità cross-chain lanciata nel 2023 come fork di THORChain che consente agli utenti di scambiare asset nativi direttamente tra blockchain, ha portato offline la propria rete di trading dopo che un attaccante ha concatenato una serie di vulnerabilità software ed estratto circa 1,7 milioni di dollari in criptovalute, con circa 20 BTC a rappresentare la maggior parte della perdita confermata.

Aaluxx, cofondatore di Maya, ha dichiarato che il team avrebbe corretto le vulnerabilità e recuperato integralmente la liquidità dopo la sospensione globale delle operazioni. La società di sicurezza blockchain PeckShield ha separatamente tracciato circa 20 BTC — del valore di 1,34 milioni di dollari — verso un indirizzo Bitcoin controllato dall'attaccante, mentre Maya stima ulteriori circa 300.000 dollari in asset colpiti.

Sei bug combinati in una transazione di 23 messaggi

L'analisi tecnica preliminare attribuisce l'attacco a sei vulnerabilità interagenti che interessano gli account di trading, l'elaborazione delle transazioni in uscita, i controlli di solvibilità e i calcoli delle pool di liquidità.

Il ricercatore di sicurezza Vini Barbosa ha ricondotto la maggior parte dell'exploit a una singola transazione contenente 23 messaggi. La sequenza ha manipolato la logica di rilevamento dei furti e di penalità-sussidio di Maya, consentendo all'attaccante di gonfiare una pool a bassa liquidità prima di aggiungere e prelevare liquidità.

Circa 48,87 milioni di CACAO sono stati prelevati dal modulo Asgard di Maya nel corso della sequenza. L'attaccante ha inoltre spostato asset tra cui LINK prima di convertire parte della posizione in BTC, ETH, RUNE e stablecoin. Circa 20,83 BTC hanno infine raggiunto un indirizzo Bitcoin esterno, mentre si stima che 8,87 milioni di CACAO siano rimasti sotto il controllo dell'attaccante durante la risposta iniziale.

La struttura dell'attacco differisce da quella di maggio ai danni di THORChain, altra rete di liquidità cross-chain nativa, dove un percorso vault compromesso ha provocato una perdita di 10,7 milioni di dollari e ha reso necessari controlli di rete d'emergenza.

CACAO crolla dell'88,7% durante l'attacco

CACAO, il token abbinato a ogni asset nelle pool di liquidità di Maya e utilizzato per regolare gli swap cross-chain della rete, è passato da circa 0,115 dollari a 0,013 dollari durante l'exploit — un crollo intraday di circa l'88,7% — poiché la manipolazione ha distorto i saldi delle pool in tutta la rete. Il token ha successivamente recuperato parte del movimento grazie all'attività di arbitraggio che ha riprezzato le pool colpite.

La brusca dislocazione di CACAO segue un altro shock crypto guidato dall'offerta registrato questo mese, quando il token ONE di Harmony è precipitato di quasi il 40% dopo la creazione non autorizzata di circa 4 miliardi di token. Harmony si è successivamente orientata verso il congelamento sugli exchange e un rollback della rete mentre gli sviluppatori tentavano di contenere i danni.

Il più ampio ecosistema DeFi e infrastrutturale cross-chain aveva già accumulato 816,9 milioni di dollari di perdite derivanti da grandi exploit nel 2026 prima dell'attacco a Maya.

Maya accelera il piano di recupero con Aztec Chain

Maya sta lavorando alle patch necessarie per ripristinare gli swap e si è impegnata a risarcire integralmente i fornitori di liquidità. Aaluxx ha inoltre segnalato che l'exploit accelererà il lancio di Aztec Chain, con i proventi degli investimenti della prevista espansione dell'ecosistema destinati a rientrare nelle pool di liquidità di Maya.

Il team sta inoltre cercando di ottenere il recupero dall'attaccante tramite un accordo di bug bounty, un canale post-exploit che i protocolli DeFi hanno ripetutamente utilizzato per negoziare la restituzione dei fondi sottratti in cambio di un pagamento. Aaluxx ha affermato che la restituzione dei circa 20 BTC alle pool di Maya ripristinerebbe gran parte della liquidità perduta.

Non è stata fornita alcuna tempistica per le patch di ripristino degli swap, per il processo di risarcimento integrale né per il rollout accelerato di Aztec Chain. MAYAChain è rimasta sotto una pausa operativa globale mentre gli sviluppatori correggevano i percorsi transazionali interessati e preparavano la rete alla ripresa del trading.