2023年にTHORChainのフォークとして立ち上げられ、ユーザーがブロックチェーン間でネイティブ資産を直接スワップできるクロスチェーン流動性ネットワーク、Maya Protocolは、攻撃者が一連のソフトウェア脆弱性を連鎖的に悪用して約170万ドル相当の暗号資産を引き出した後、トレーディングネットワークをオフラインにした。確認済みの損失の大半は約20 BTCが占めている。

Mayaの共同創設者であるAaluxxは、運用が世界的に停止された後、チームが脆弱性を修正し流動性を完全に回復させると述べた。ブロックチェーンセキュリティ企業のPeckShieldは別途、約134万ドル相当の約20 BTCが攻撃者の管理するビットコインアドレスに送られたことを追跡した。Mayaはさらに約30万ドル相当の資産が影響を受けたと推定している。

23メッセージの取引で6つのバグが連鎖

予備的な技術分析では、この攻撃はトレードアカウント、送金トランザクション処理、ソルベンシー（支払能力）チェック、流動性プール計算にまたがる、相互に作用する6つの脆弱性に起因するとされている。

セキュリティ研究者のVini Barbosaは、この攻撃の大半が23のメッセージを含む1件の取引に由来すると特定した。この一連の操作はMayaの盗難検知およびペナルティ補助のロジックを悪用し、攻撃者が流動性を追加・引き出す前に低流動性プールを膨らませることを可能にした。

この一連の流れの中で、約4,887万CACAOがMayaのAsgardモジュールから引き出された。攻撃者はさらにLINKなどを含む資産を移動させた後、ポジションの一部をBTC、ETH、RUNE、ステーブルコインに変換した。最終的に約20.83 BTCが外部のビットコインアドレスに到達し、初動対応の間は推定約887万CACAOが攻撃者の管理下に残っていた。

この手口は、同じネイティブ・クロスチェーン流動性ネットワークであるTHORChainへの5月の攻撃とは異なる。同攻撃では侵害されたボールト経路が1,070万ドルの流出を引き起こし、緊急のネットワーク制御が敷かれた。

CACAOが攻撃中に88.7%急落

Mayaの流動性プールではすべての資産とペアになり、ネットワークのクロスチェーンスワップの決済に使われるトークンCACAOは、この操作によってネットワーク全体のプール残高が歪んだ結果、攻撃の間に約0.115ドルから0.013ドルへと下落し、日中の下落率は約88.7%に達した。その後、アービトラージ活動により影響を受けたプールの価格が再形成され、トークンは下落幅の一部を回復した。

CACAOの急激な価格変動は、今月発生した別の供給主導の暗号資産ショックに続くものだ。当時は約40億枚のトークンが無許可で生成された結果、HarmonyのONEは40%近く急落した。Harmonyはその後、開発者が損害の封じ込めを図る中、取引所での凍結やネットワークのロールバックへと動いた。

Mayaへの攻撃以前にも、DeFiおよびクロスチェーンインフラ全体では、2026年に主要な攻撃による損失がすでに8億1,690万ドルに達していた。

Maya、Aztec Chainによる回復計画を前倒し

Mayaはスワップ復旧に必要なパッチの開発を進めており、流動性提供者を完全に補填すると約束している。Aaluxxはまた、この攻撃がAztec Chainのローンチを前倒しするとの見方を示し、計画されているエコシステム拡大からの投資収益はMayaの流動性プールへ還元される予定だとした。

チームはさらに、バグバウンティ（脆弱性報奨金）の取り決めを通じて攻撃者からの資金回収も追求している。これは、報奨金との引き換えに盗難資金の返還を交渉するためにDeFiプロトコルが繰り返し利用してきた攻撃後のチャネルだ。Aaluxxは、約20 BTCをMayaのプールに戻せば失われた流動性の大部分が回復すると述べた。

スワップ復旧パッチ、補填プロセス、前倒しされたAztec Chainの展開について、具体的な時期は示されていない。MAYAChainは、開発者が影響を受けたトランザクション経路を修正し、トレーディング再開に向けてネットワークを準備する間、世界的な運用停止状態が続いている。