クロスチェーン流動性ネットワークのMaya Protocolは火曜日、攻撃者が6件のソフトウェア上の欠陥を悪用し、ネットワークからBitcoinなど約1.7百万ドル相当の資産を流出させた後、運営を停止した。

CACAOは約89%急落し、MAYAChainの流動性プールの価値は約1,090万ドル減少した。チームが公開した事後報告では、流動性プールに偽の残高を生み出した6件のバグが特定された。

何が起きたのかを説明する X上の投稿 で、Maya Protocolの創設者AaluxxMyth、別名Mayaは、被害を抑えるためにネットワークを停止し、スワップ再開前に脆弱性を修正すると述べた。

「包み隠さずに言うと、」とMayaは投稿した。「おそらく20 BTC（140万ドル）とその他の資産（30万ドル）の被害を受けた可能性が高い。」

この攻撃は私たちを試した。私たちの対応はレジリエンスだ。私たちは行動、解決策、そしてより強く再建することに集中している。舞台裏では、私たちはまだ作業を続けている。Maya tribe から受けた親切、信頼、支援は比類ないものだった。これ以上ないほど感謝している。❤️…

— Maya Protocol (@Maya_Protocol) August 19, 2026

Maya Protocolは、BitcoinやEthereumなどの暗号資産を中央集権型取引所を使わずにブロックチェーン間で交換できる分散型ネットワークMAYAChainを運営している。この設計では流動性とプールの整合性がプロトコル機能の中心となるため、プール会計の不備はネットワーク全体のスワップと価格にすぐ影響し得る。

事後報告書 で、Maya Protocolのチームは、攻撃者が6件のバグを悪用して流動性プールを49.45百万CACAOまで膨らませ、その後プールの99.93%を支配して48.87百万CACAOを引き出したと説明した。

「この攻撃は、単一の23メッセージのMsgDepositトランザクションを使って偽の 'theft' 検知を引き起こし、上限のないslash subsidyを通じて流動性の低いプールのCACAO残高を膨らませ、その後すぐにその膨張したプールにLPし、そこから引き出して価値を抜き取った」と同チームは記した。

攻撃者がトークンをBitcoinやその他の資産へ交換するにつれ、CACAOの価格は急落し、最終的に引き出された金額は抑えられた。チームは、攻撃者が合計で約1.65百万ドル相当の暗号資産を奪ったと見積もっており、その内訳は外部ブロックチェーンへ移された約136万ドルと、オンチェーンに残る約29.1万ドルだとしている。

チームは、この攻撃でAIが使われたと考えているかどうかは明らかにしなかった。Mayaは、HalbornとFable 5による監査にもかかわらず、これらのバグが3年から4年にわたって検出されなかったと述べ、コードレビューではより敵対的なアプローチを取る必要があると付け加えた。

「私たちはさらに敵対的になって、極めて単純なコードプリミティブを探さなければならない」とMayaは 追随投稿 で書いた。「自分たちの仕事が難しいことはすでに分かっていたが、その使命には価値がある。」

Maya Protocolは、約134万ドル相当の20.83 BTCを受け取ったとされる攻撃者のBitcoinアドレスを公開した。チームは合計で約1.65百万ドルが奪われたと見積もっており、バグバウンティと引き換えに資金が返還されることを望んでいる。

それがかなわない場合、Mayaは、Aztec Chainへの投資や「その他の手段」を通じて約20 BTCを回収し、被害を受けたプールへ返還する計画だと述べた。

今回のニュースは、ここ数か月で複数の大規模なDeFi攻撃が発生した後に伝えられた。4月には、ソーシャルエンジニアリング攻撃で開発者のセッションキーが侵害され、攻撃者がKelpDAOのクロスチェーンブリッジから約2億9,200万ドルを流出させた。7月には、Arbitrumベースのパーペチュアル取引所Ostiumが、攻撃者にオラクル署名鍵を奪われ価格フィードを操作されたことで、約1,800万ドルの被害を受けた。同月後半には、分散型取引所が運営するUSDCブリッジを標的にした攻撃で、AFX Tradeが約2,400万ドルを流出させられた。