Maya Protocol是一个于2023年作为THORChain分叉推出的跨链流动性网络，允许用户在区块链之间直接兑换原生资产。在一名攻击者串联利用一系列软件漏洞、窃取约170万美元加密货币后，该网络已将交易网络下线，其中约20枚BTC占已确认损失的大部分。

Maya联合创始人Aaluxx表示，在运营全球暂停后，团队将修复这些漏洞并全额恢复流动性。区块链安全公司PeckShield另行追踪到约20枚BTC（价值134万美元）被转入一个攻击者控制的比特币地址，而Maya估计另有约30万美元资产受到影响。

六个漏洞在23条消息交易中被组合利用

初步技术分析将此次攻击归因于六个相互作用的薄弱环节，涉及交易账户、出站交易处理、偿付能力检查以及流动性池计算。

安全研究员Vini Barbosa将此次攻击的大部分追溯到一笔包含23条消息的交易。该序列操纵了Maya的盗窃检测与惩罚补贴逻辑，使攻击者得以在添加和提取流动性之前先推高一个低流动性池。

在该序列进行过程中，约有4887万枚CACAO从Maya的Asgard模块中被抽走。攻击者还转移了包括LINK在内的资产，随后将部分头寸转换为BTC、ETH、RUNE和稳定币。最终约20.83枚BTC流入一个外部比特币地址，而在初步应对期间，估计仍有887万枚CACAO处于攻击者控制之下。

此次攻击的结构与5月份对同为原生跨链流动性网络的THORChain的攻击有所不同，当时一条被入侵的金库路径造成了1070万美元的损失，并迫使网络采取紧急控制措施。

CACAO在攻击期间暴跌88.7%

CACAO是Maya流动性池中与每种资产配对、并用于结算该网络跨链兑换的代币。在攻击期间，该代币从约0.115美元跌至0.013美元——盘中暴跌约88.7%——原因是此次操纵扭曲了整个网络的流动性池余额。随后，随着套利活动对受影响的流动性池重新定价，该代币收复了部分跌幅。

CACAO此次突然剧烈波动紧随本月另一起由供应驱动的加密市场冲击：当时Harmony的ONE在约40亿枚代币未经授权被铸造后暴跌近40%。Harmony随后转向交易所冻结和网络回滚，开发人员试图控制损失。

在Maya遭攻击之前，更广泛的DeFi和跨链基础设施在2026年期间已累计录得8.169亿美元的重大漏洞攻击损失。

Maya加速推进Aztec Chain恢复计划

Maya正在开发恢复兑换所需的补丁，并承诺全额补偿流动性提供者。Aaluxx还表示，此次漏洞事件将加速Aztec Chain的推出，计划中的生态系统扩张所产生的投资收益拟回流至Maya流动性池。

团队还通过漏洞赏金安排向攻击者追讨资金——这是DeFi协议在漏洞事件后反复使用的渠道，用以协商以支付赏金换取被盗资金的归还。Aaluxx表示，将约20枚BTC归还至Maya的流动性池将恢复大部分流失的流动性。

对于恢复兑换的补丁、补偿流程或加速推出的Aztec Chain，均未给出具体时间表。MAYAChain仍处于全球运营暂停状态，开发人员正在修补受影响的交易路径，并为网络恢复交易做准备。