Maya Protocol 是 2023 年推出的跨鏈流動性網路,為 THORChain 的分叉,讓使用者能在區塊鏈之間直接交換原生資產。在攻擊者串聯一系列軟體漏洞、提取約 170 萬美元加密貨幣後,該協議已將交易網路下線,其中約 20 BTC 佔已確認損失的大部分。

Maya 共同創辦人 Aaluxx 表示,在營運全球暫停後,團隊將修復漏洞並全額恢復流動性。區塊鏈安全公司 PeckShield 另行追蹤到約 20 BTC(價值 134 萬美元)流向攻擊者控制的比特幣地址,而 Maya 估計另有約 30 萬美元資產受到影響。

六個漏洞在 23 則訊息交易中被串聯利用

初步技術分析將此次攻擊歸因於六個相互作用的弱點,範圍涵蓋交易帳戶、出站交易處理、償付能力檢查與流動性池計算。

安全研究員 Vini Barbosa 將攻擊的大部分追溯到一筆包含 23 則訊息的單一交易。該序列操縱了 Maya 的竊盜偵測與罰則補貼邏輯,使攻擊者得以先灌高一個低流動性池,再注入並提取流動性。

在整個序列期間,約 4,887 萬枚 CACAO 從 Maya 的 Asgard 模組被提取。攻擊者另轉移了包括 LINK 在內的資產,之後將部分部位轉換為 BTC、ETH、RUNE 與穩定幣。最終約 20.83 BTC 流入一個外部比特幣地址,而在初步應變期間,估計仍有 887 萬枚 CACAO 處於攻擊者控制之下。

此次攻擊的結構與 5 月同為原生跨鏈流動性網路的 THORChain 所遭遇的攻擊不同,當時遭入侵的金庫路徑造成 1,070 萬美元損失,並迫使啟動緊急網路管控。

CACAO 在攻擊期間暴跌 88.7%

CACAO 是與 Maya 每個流動性池中的資產配對、並用於結算該網路跨鏈交換的代幣。在攻擊期間,CACAO 從約 0.115 美元跌至 0.013 美元,日內崩跌約 88.7%,因為操縱行為扭曲了全網的池內餘額。其後套利活動重新定價受影響的流動性池,該代幣收復部分跌幅。

CACAO 這次突然的價格錯置,緊接著本月另一起由供給面驅動的加密貨幣震撼:當時約 40 億枚代幣在未經授權的情況下被鑄造,Harmony 的 ONE 隨之暴跌近 40%。Harmony 其後朝凍結交易所與網路回滾方向處理,開發者試圖控制損害。

在 Maya 事件之前,更廣泛的 DeFi 與跨鏈基礎設施於 2026 年已累計約 8.169 億美元的重大攻擊損失。

Maya 加速 Aztec Chain 復原計畫

Maya 正在開發恢復交換功能所需的修補程式,並承諾全額補償流動性提供者。Aaluxx 亦指出,此次攻擊將加速 Aztec Chain 的推出,計畫中的生態系統擴展所產生的投資收益,將回流至 Maya 的流動性池。

團隊同時透過漏洞賞金安排向攻擊者追討資金,這是 DeFi 協議在事件後屢次用來協商、以報酬換取歸還失竊資金的管道。Aaluxx 表示,將約 20 BTC 歸還至 Maya 的流動性池,將可恢復大部分流失的流動性。

對於恢復交換功能的修補程式、全額補償流程或加速推出的 Aztec Chain,均未提供時間表。MAYAChain 仍處於全球營運暫停狀態,開發者持續修補受影響的交易路徑,並為網路恢復交易進行準備。