В ночь на 19 августа разработчики кроссчейн-проекта Maya Protocol приостановили работу сети после хакерской атаки, ущерб от которой составил около $1,7 млн. Об этом сообщил его сооснователь под псевдонимом Aaluxx.
Злоумышленник вывел 20 BTC на сумму ~$1,4 млн и другие цифровые активы примерно на $300 000, что также подтвердили специалисты PeckShield, идентифицировавшие адрес взломщика.
Как произошла атака
По данным команды Maya, взлом произошел из-за уязвимости в обработке транзакций. Протокол не заметил уже исполненные выводы средств и ошибочно включил механизм компенсации. Этим воспользовался хакер, создав фиктивный пул, в который система зачислила почти 50 млн ничем не обеспеченных токенов CACAO.
Затем он внес 100 настоящих CACAO, благодаря чему получил право на 99,93% всех активов этого пула и сразу вывел 48,87 млн реальных монет — фактически за счет резервов протокола. Все средства здлумышленник обменял на биткоин, Ethereum, RUNE и стейблкоины.
В результате цена CACAO рухнула на 88,7% — с $0,115 до $0,013. Позже монета отыграла падение, восстановившись до $0,032, сообщили разработчики.
Причиной сбоя стало то, что новый код торговых счетов, перенесенный из THORChain в середине 2025 года, не интегрировали с системой проверки платежеспособности. Aaluxx заявил, что за несколько лет уязвимость не заметили ни аудиторы Halborn, ни проверки с применением модели Fable 5 от Anthropic, ни сообщество.
Сейчас разработчики решают проблему и готовятся возобновить работу сети. Сооснователь проекта надеется привлечь $1,4 млн за счет инвестиций в AZTECChain. Он также предложил хакеру вознаграждение в рамках баг-баунти в обмен на возврат похищенных средств.
Напомним, в мае 2026 года THORChain, форком которого является Maya Protocol, потерял около $10,7 млн в результате атаки через взломанный узел сети.