Maya Protocolは、THORChainのフォークとして構築されたクロスチェーン流動性プラットフォームで、2025年8月18日に高度な攻撃を受け、共有流動性プールから約48.87百万CACAOトークンと98.82 LINKが流出した。直接の盗難額は約170万ドルだったが、二次被害はそれを大きく上回り、CACAOの価格は約89%下落し、プロトコルの総プール価値は推定1,090万ドル減少した。CACAOはネットワークのネイティブ資産であり、THORChainにおけるRUNEに相当し、クロスチェーン・スワップの決済トークンとして機能している。

プロトコル創設者のAaluxxMyth氏はこの攻撃を公に確認し、ブロックチェーン・セキュリティ企業のCertiKは盗難資産を検知した。ネットワークはその後、さらなる流出を抑えるため運用を停止しており、チームは攻撃者へのホワイトハット報奨金の提示を含む回復策を検討している。

攻撃の仕組み

今回の攻撃は単純な強奪ではなかった。攻撃者はMaya Protocolのロジックに存在する6つの異なるバグを連鎖させ、23のメッセージを含む1回のトランザクションを実行して、プロトコル内部の会計システムを操作した。これは、建物内の6つの施錠されていない扉を見つけ、それらを正しい順番で通り抜けて金庫に到達するようなものだと例えられる。必要とされた精度の高さは、攻撃者が実行前にMayaのコードベースをかなりの時間をかけて調査していた可能性を示している。

攻撃の標的となったのは、複数のブロックチェーンにまたがるスワップを可能にするために設計されたMayaの共有流動性インフラだった。Mayaのようなクロスチェーン・プロトコルは、異なるネットワーク間で残高を追跡し、トランザクションを同時に検証する必要があるため、本質的に複雑である。その複雑さは攻撃者にとっての攻撃面を広げ、この事例では6つの異なる脆弱性が連携して悪用される余地があった。

攻撃中、攻撃者はCACAOおよびLINKトークンに加えて、合計20.83 BTCを移動させた。

市場への影響

CACAOの価格は、攻撃後数時間で急落した。攻撃前は約0.115ドルで取引されていたが、約0.013ドルまで下落し、下落率は約89%に達した。その後、0.03ドル台までやや回復したものの、依然として攻撃前水準から約74%低い。

MayaのTHORChain型の設計では、CACAOは各流動性プールの一方に配置されており、トークン価格はプロトコル全体のプール深度に直接連動している。資本をMayaのプールに投入していた流動性提供者にとって、被害は攻撃者が実際に盗んだ170万ドルをはるかに超える。総プール価値が約1,090万ドル減少したことは、パニックが広がりプロトコルが停止されたことで流動性がいかに蒸発したかを示している。

攻撃前のMaya Protocolの総ロック価値（TVL）は約1,000万ドルだったため、CACAO建てポジションにおける連鎖的な価格影響を考慮すると、プール価値の減少はプロトコルのTVL全体を事実上消し去ったことになる。

復旧計画と今後の見通し

Mayaのチームは、複数の手段を組み合わせた復旧戦略を進めている。最優先の対応は、追加流出を防ぐためのネットワーク停止だった。それに加え、プロトコルはAztec Chainを通じた資産補充を検討しており、影響を受けた流動性提供者への補償に利用できる可能性がある。

チームはまた、攻撃者に対してホワイトハットの提案も行っている。これはDeFiの攻撃でよく見られる手法で、資金を返還すれば一定割合をバグ報奨として保持し、法的責任を回避するというものだ。成功することもある。Euler Financeは2023年に同様の枠組みで1億9,700万ドルを回収し、Wormholeの3億2,000万ドル規模の攻撃も最終的に解決された。一方で、提案を無視して盗難資金を持ち去る攻撃者も少なくない。

攻撃者が資産を返還したとしても、Maya Protocolには大きな立て直しの課題が残る。クロスチェーン・プロトコルはすでに多くの投資家の認識の中で高リスク資産に位置づけられており、6つのバグを悪用された事例はコードベースへの信頼を高めるものではない。実質的な資本が戻るためには、信頼できるセキュリティ企業による包括的な監査がほぼ確実に必要になる。

広いDeFiエコシステムの観点では、今回の件も長く続くパターンの一例である。クロスチェーン・ブリッジやマルチチェーン流動性プロトコルは、暗号資産業界で最も頻繁に攻撃されるカテゴリーの一つだ。Ronin Bridgeは2022年に6億2,500万ドルを失い、Wormholeは3億2,000万ドル、Nomadは1億9,000万ドルを失った。Mayaの直接損失1,700万ドルはそれらに比べれば小さいが、エコシステムに対する相対的な影響、つまりTVL全体を実質的に破壊した点は、利用者にとって同様に壊滅的だった。

この事件は、実績が長く、複数回の監査を完了したプロトコルへ資本がより向かう要因になる可能性が高い。新しいクロスチェーン・プロジェクトにとって、信頼獲得のハードルは一段と高くなった。すでに相互運用性プロトコルへの資本投下に慎重だった投資家にとっても、その慎重姿勢を裏づける新たな事例となった。

Maya Protocolが再建できるかどうかは、今後何が起こるか次第だ。ホワイトハット提案が成功するか、チームが6つすべての脆弱性をどれだけ早く修正できるか、そして信頼できる第三者監査が修正内容を検証できるかにかかっている。暗号資産市場は、うまく立ち直ったプロトコルには比較的寛容だが、二度つまずくプロトコルにはさらに厳しい。