Взлом Maya Protocol: шесть уязвимостей обрушили токен CACAO на 88%

Кроссчейн-протокол Maya Protocol остановил работу после того, как злоумышленник задействовал шесть уязвимостей и вывел около $1,7 млн ≈ 5,15 млн BYN из пулов ликвидности. Курс нативного токена CACAO обрушился на 88% — с $0,115 до $0,013, затем частично восстановился до примерно $0,032. Проект пообещал исправить ошибки и возобновить свопы.

Как прошла атака

Основатель Maya Protocol под псевдонимом AaluxxMyth сообщил об инциденте и остановке сети. По словам команды, злоумышленник провел одну транзакцию из 23 команд, которую сеть приняла за легитимную. В результате хакер раздул баланс пула на 49,45 млн CACAO, получил контроль над 99,93% пула и вывел 48,87 млн токенов — почти половину от всех 100 млн CACAO в обращении.

В отчете о разборе инцидента (post-mortem) команда указала, что атака использовала ложное срабатывание детектора краж и неограниченную субсидию для раздувания баланса пула с низкой ликвидностью. После этого хакер обменял украденные токены на биткоины, Ethereum и другие активы во всех пулах Maya.

Потери и реакция

Злоумышленник перевел 20,83 BTC (около $1,34 млн ≈ 4,06 млн BYN) на один биткоин-адрес за десять блоков. По оценкам команды, всего украдено примерно $1,65 млн ≈ 5,00 млн BYN: $1,36 млн ≈ 4,12 млн BYN выведено на внешние блокчейны, около $291 000 ≈ 882 тыс. BYN осталось в сети. Стоимость пулов ликвидности MAYAChain упала примерно на $10,9 млн ≈ 33,0 млн BYN.

AaluxxMyth заявил, что уязвимости оставались незамеченными три-четыре года, несмотря на аудиты от Halborn и Fable 5. Он добавил, что команде необходимо более враждебно подходить к проверке кода: «Мы уже знали, что наша работа сложна, но цель стоит того».

Maya Protocol опубликовал адрес предполагаемого хакера и предложил вернуть средства за вознаграждение (bug bounty). Если злоумышленник откажется, команда планирует восстановить около 20 BTC через инвестиции в Aztec Chain и другими способами. Также проект обратился к арбитражным трейдерам, заработавшим на разнице цен в пулах.

Статистика взломов

По данным DefiLlama, в 2026 году произошло 219 взломов DeFi-протоколов на $1,26 млрд ≈ 3,82 млрд BYN. За весь 2025 год было 146 инцидентов с потерями $2,71 млрд. Только в августе 2026 года набралось уже 16 крупных случаев. Протокол THORChain, на основе которого построена Maya, в мае потерял $10,7 млн.

Держателям CACAO стоит следить за новостями проекта: восстановление зависит от того, согласится ли хакер вернуть средства. Узнать больше о хронике взломов и краж можно в нашей базе.