Maya-Protokoll verliert 1,7 Millionen Dollar, nachdem sechs Sicherheitslücken DeFi Bereich aufgedeckt wurden
- Maya Protocol verlor rund 1,7 Millionen Dollar, nachdem ein Hacker sechs Fehler in den Bereichen Buchhaltung, Liquidität und ausgehende Transaktionen ausgenutzt hatte.
- Der CACAO-Kurs brach um fast 89 % ein und fiel von 0,115 $ auf 0,013 $, als der Angreifer Millionen von Token und andere Vermögenswerte verschob.
- Der Angriff erinnert an den 10,7 Millionen Dollar schweren Exploit von THORChain und zeigt, wie viele kleine Schwachstellen in Kombination gefährlich werden können.
Das Maya-Protokoll wurde diese Woche Opfer eines Hackerangriffs, der eine Schwachstelle ausnutzte. Dies deutet auf ein größeres Problem hin: Die Verteidigungsmechanismen können mit den ausgeklügelten Angriffen nicht mithalten. Das Blockchain-Sicherheitsunternehmen CertiK schätzt den direkten Schaden auf rund 1,7 Millionen US-Dollar. Der Hacker hatte Maya getäuscht, indem er eine nicht existierende Subvention vergab und anschließend wiederholt Liquidität hinzufügte und entfernte, umtracVermögenswerte aus den gemeinsamen Pools
Die Folgen des Angriffs trafen Mayas Liquiditätsanbieter und CACAO-Inhaber unmittelbar. Entscheidender ist jedoch, dass die Schwachstellen nicht allein auf einen fehlerhaften Code zurückzuführen waren. Vielmehr wurde eine unerwartete Abweichung von der regulären Protokolllogik ausgenutzt, wodurch dieser Angriff unentdeckt blieb, bis es bereits zu spät war, ihn zu stoppen.
Wie der Angreifer Mayas Buchhaltung manipulierte
Laut CertiK, diedent, verursachte der Hacker durch eine gefälschte Subvention eine Fehldarstellung der internen Buchhaltung von Maya, um anschließend die Liquiditätspositionen zu verändern und schätzungsweise 48,87 Millionen CACAO und 98,82 Millionen LINK abzuheben. DefiLlama Hacks and Exploits Database klassifizierte den Vorfall vom 18. August als „Protokolllogik“ und bezifferte den Schaden auf 1,7 Millionen US-Dollar.
Der Schaden war weitaus größer. Entwickler Vini Barbosa sprach von einem „raffinierten Exploit mit sechs Fehlern“, der Vermögenswerte im Wert von über 1,36 Millionen US-Dollar aus dem Protokoll entwendete, aber aufgrund des Kursverfalls von CACAO einen Gesamtschaden von fast 11 Millionen US-Dollar verursachte. Laut Barbosa fiel der Token innerhalb von weniger als 240 Blöcken von 0,115 US-Dollar auf 0,013 US-Dollar, was einem Rückgang von fast 89 % entspricht.
Aaluxx, einer der Gründer von Maya, erkannte den Schaden noch am selben Tag. Er fügte hinzu, dass das Team „an der vollständigen Behebung und Wiederherstellung arbeiten“.
Ein Muster, das THORChain bereits durchlebt hat
Maya ist ein Ableger von THORChain, das im Mai selbst Opfer eines Hackerangriffs mit einem Schaden von 10,7 Millionen US-Dollar wurde. In der anschließenden Analyse erklärte THORChain, dass ein neuer Knotenbetreiber Schwachstellen im GG20-Schwellenwertsignatursystem des Netzwerks ausgenutzt hatte und die Sicherheitsprüfungen des Systems das Problem erst nach dem Angriff bemerkten.
Aaluxx stellte anschließend im Community-Podcast von THORChain klar, dass der Hack auf drei älteren Fehlern basierte , die einzeln betrachtet nicht gefährlich waren, in Kombination jedoch problematisch werden konntenmaticEr fügte hinzu, dass auch Maya diese latente Schwachstelle aufwies.
Um die Ursache des Hacks zu ermitteln, war eine äußerst detaillierte forensische Untersuchung erforderlich. Das Team musste kryptografische Konfigurationsparameter prüfen und nach unbedeutenden Primzahlen suchen, die dort nicht vorkommen sollten, um die infizierten Tresore zu lokalisieren. Dies offenbart eine grundlegende Schwachstelle für die Verteidiger: Ein einfacher Kontostandsmonitor kann Verluste möglicherweise erst dann erkennen, wenn die Gelder bereits den Besitzer gewechselt haben – zu diesem Zeitpunkt ist es unter Umständen bereits zu spät, den Angriff zu stoppen.
Wie eine Aufrüstung der Verteidigung konkret aussieht
Aaluxx warnte davor, dass KI-Technologie es kleinen Teams ermöglicht, Codebasen aus einer Vielzahl von Perspektiven gleichzeitig zu untersuchen. Dies ist zwar nützlich für die Verteidigung, eröffnet Angreifern aber auch mehr Möglichkeiten, einzigartige Schwachstellen aufzudecken, die bestehende Prüfprozesse möglicherweise nicht erkennen.
Seine bevorzugte Lösung war Redundanz statt der Abhängigkeit von einem einzigen System. Maya und THORChain entschieden sich gegen eine Integration und blieben stattdessen unabhängigdent So konnte Maya auch dann noch Tauschgeschäfte mit einem nachweislich intakten Tresor durchführen, während THORChain wochenlang inaktiv war.
Der Vergleich ist besonders interessant, da THORChain in seiner eigenen Analyse angibt, dass die Ursache nicht in einem einzigenmatic Fehler, sondern in drei älteren Bugs lag, die durch ihre Kombination ausnutzbar wurden. THORChain weist zudem ausdrücklich darauf hin, dass derselbe latente Bug bereits in Maya existierte, aber zuvor nicht ausgenutzt worden war.
| Metrisch | Maya-Protokoll / MAYAChain | THORKette |
|---|---|---|
| dent | 18. August 2026, gegen 17:30 Uhr UTC | 15. Mai 2026 |
| Verlust | Der Gesamtwert der Angreifer belief sich auf etwa 1,7 Millionen US-Dollar ; davon .tracin externe Blockchains transferiert rund 1,36 Millionen US-Dollar | Etwa 10,7 Millionen Dollar wurden aus einem Tresorraum abgehoben. |
| Betroffene Vermögenswerte | 20,83 BTC + 48,87 Millionen CACAOsowie weitere Vermögenswerte | BTC-, ETH-, BNB und Basechain-Assets |
| Grundursache | Sechs miteinander verknüpfte Schwachstellen im Zusammenhang mit dem Handelskonto und der ausgehenden Datenflusslogik; der Angriff nutzte Wechselwirkungen zwischen ansonsten nicht katastrophalen Fehlern aus. | Drei ältere Fehler sind miteinander verkettet, darunter eine Schwachstelle im Zusammenhang mit dem GG20-Schwellenwertsignaturverfahren. |
| Erkennung / Reaktion | Die Ausnutzung des Exploits löste einen Notstopp aus; der Angreifer führte den Exploit aus, bevor das Netzwerk gestoppt wurde | On-Chain-Ermittler, darunter ZachXBT und PeckShield, von THORChainmatic setzten daraufhin das Signieren/Handeln aus. |
| Protokollbeziehung | MAYAChain ist ein freundlicher Fork von THORChainund teilt große Teile dessen Architektur/Code. | Originales Cross-Chain-Liquiditätsprotokoll |
| Sicherheitslektion | Mehrere einzeln behebbare Fehler können in Kombination mit Schwächen in den Bereichen Liquidität/Buchhaltung und ausgehende Geldflüsse katastrophale Folgen haben | Redundanz, automatisierte Erkennung und Signaturkontrollen können die Auswirkungen eines Tresor-Einbruchs begrenzen |
Wie können DeFi -Protokolle Kettenangriffe verhindern?
Protokolle müssen die Wechselwirkungen zwischen Sicherheitskontrollen testen , nicht nur einzelne Schwachstellen. Der Mayadent zeigt, wie Fehlalarme bei Diebstahl, fehlerhafte Abwicklung ausgehender Transaktionen und Liquiditätsbuchhaltungsfehler in Kombination gefährlich werden können. Stärkeretronumfassen Invariantentests, die Simulation mehrstufiger Angriffspfade, die unabhängigedent der Buchhaltungslogik, die Echtzeit-Anomalieerkennung und automatischematic bei ungewöhnlichen Abhebungen oder Pool-Salden. Eine in diesem Monat veröffentlichte Studie plädiert ebenfalls für mehrschichtige Erkennung und Verteidigung anstelle eines einzelnen Sicherheitsmechanismus.
| Uhrzeit / Datum | Ereignis | Wie man es zitiert |
|---|---|---|
| 18. August 2026 | Es kam zu einem Exploit. Die On-Chain-Aktivitäten zeigen, dass der Angreifer Schwachstellen im Accounting-/Outbound-Flow von MAYAChain ausnutzte undtrac. Maya, Gründerin von AaluxxMyth, beschrieb den Hack am 18. August. | Datum desdent : 18. August 2026 |
| 18. August 2026 | MAYAChain setzt den Handel/die Transaktionen aus, um die Sicherheitslücke einzudämmen und mit der Behebung zu beginnen. | Gleichesdent |
| 18.–19. August 2026 | Eine Exploit-Analyse wird durchgeführt. Die Forscher rekonstruieren die Kette der sechs Fehler, darunter die falsche Diebstahlsmeldung, die fehlerhafte Vergütung und der Buchhaltungsfehler. | Behandeln Sie nach dem Vorfalldent es als , nicht als einen zweiten Vorfalldent |
| 19. August 2026 | Ausführlichere Berichte und technische Analysen sind erschienen. Der am 19. August veröffentlichte Bericht von CoinDesk beschreibt den Angriff vom 18. August und rekonstruiert die entstandenen Verluste. | Meldetermin: 19. August |
| 19. August 2026 | Einige Datenanbieter/Sicherheitsfeeds bezeichnen das Ereignis als den 19. August, was wahrscheinlich auf ihre UTC-/Zeitzonenkonvention oder das Datum der Erstellung/Aktualisierung ihres Ereignisdatensatzes zurückzuführendent . | Verwenden Siedent Datum nicht ohne Einschränkung als primäres Ereignisdatum |
Diese Block-Level-Zahlen werden bei der Rekonstruktion des Vorfalls angegebendent bieten eine besonders nützliche Möglichkeit, die Exploit-Mechanismen mit der Vermögensextraktiontracdem Tokenpreis-Schaden zu verknüpfen.
| MAYAChain-Block | Ereignis | Quantitative Auswirkungen |
|---|---|---|
| 17,977,941 | 23-Nachrichten-Exploit-Transaktion ausgeführt | Sechs-Fehler-Exploit-Kette gestartet |
| 17,977,971 | Angreifer fügt Liquidität zu/entnimmt sie aus dem manipulierten Pool ab | ~ extrahierttrac48,87 Kakao |
| 17,977,998–17,978,008 | CACAO wurde schnell in BTC umgetauscht | 20,83 BTC wurden extern transferiert |
| 17,978,094 | CACAO erreicht Tiefststand nach der Ausnutzung der Sicherheitslücke | Etwa 88,7 % unter dem Niveau vor der Ausnutzung der Sicherheitslücke |
| 17,978,500+ | Teilweise Erholung beginnt | CACAO bewegt sich wieder in Richtung ungefähr $0.03 |
Schadensbegrenzung
Daten aus der Branche unterstreichen die Bedeutung verstärkter Sicherheitsvorkehrungen. Laut TRM Labs gab es in den ersten sechs Monaten des Jahres 2026 weltweit 207 Hackerangriffe auf Kryptowährungen – die höchste jemals in einem Halbjahr verzeichnete Zahl. Die Studie zeigt außerdem, dass Smart Contractstracverschiedene Arten angegriffen werden, anstatt sich nur auf eine einzige Schwachstelle zu beschränken. Der Maya-Exploit passt perfekt in diesen Trend. zunehmend
Die Schlussfolgerung lautet, dass die Sicherheit DeFi ohne diedentund Behebung spezifischer Fehler nicht mehr gewährleistet werden kann. Protokolle müssen mehrschichtige Überwachung, diedentNutzung verschiedener Prüfmechanismen, die Implementierung eines Schnellstoppmechanismus für Notfälle und die Fähigkeit zur Fehlerbehebung vor dem endgültigen Abschluss einer fraglichen Transaktion umfassen.
Maya möchte nicht nur das aktuelle Problem lösen. Aaluxx gab bekannt, die Entwicklung von Aztec Chain, einem Omnichain DeFi Projekt, das auf den Erfahrungen aus den Vorgängerprojekten Maya, THORChain und Rujira basiert, beschleunigen zu wollen. Sollten diese Erkenntnisse dazu beitragen, bessere Lösungen zu entwickeln, anstatt den Fehlerkreislauf immer wieder neu zu starten, könnte sich der Maya-Vorfall alsdent erweisen, als der Verlust von 1,7 Millionen US-Dollar vermuten lässt.
Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Was ist Kakao?
CACAO ist der native Token von Maya Protocols MAYAChain, einem dezentralen, kettenübergreifenden Liquiditätsnetzwerk. Er dient als gemeinsames Asset, das Liquiditätspools verbindet und den Tausch nativer Assets zwischen unterstützten Blockchains erleichtert. Maya Protocol ist ein freundlicher Fork von THORChain.
Wann fand der Maya-Protokoll-Hack statt?
Der Angriff auf das Maya-Protokoll erfolgte am 18. August 2026. Der Angreifer nutzte sechs Softwarefehler in einer einzigen Transaktion mit 23 Nachrichten aus undtracso Bitcoin und andere Kryptowährungen im Wert von etwa 1,7 Millionen US-Dollar. Maya legte daraufhin das Netzwerk lahm, um den Angriff einzudämmen.
Wie hat der Angreifer die Buchhaltung des Maya-Protokolls manipuliert?
Der Angreifer nutzte eine Reihe von Fehlern in MayaChain aus, die zu einem falschen Kontostand in einem Pool mit geringer Liquidität führten. Ein fehlerhafter Kompensationsmechanismus schrieb rund 49 Millionen CACAO gut, obwohl die zugrunde liegende Reserve nur etwa 168.000 CACAO enthielt. Ein weiterer Fehler sorgte dafür, dass dieser überhöhte Kontostand nach dem fehlgeschlagenen Transferversuch bestehen blieb. Der Angreifer zahlte daraufhin einen kleinen Betrag ein, erlangte über 99 % des manipulierten Pools und hob 48,87 Millionen CACAO ab, die er gegen reale Vermögenswerte, darunter Bitcoin, tauschte.
Wie hoch waren die Kosten für die Ausnutzung des Maya-Protokolls?
CertiK und DefiLlama beziffern den direkten Verlust auf etwa 1,7 Millionen US-Dollar, während der Entwickler Vini Barbosa die Gesamtauswirkungen nach dem Einbruch des CACAO-Token-Preises auf rund 11 Millionen US-Dollar schätzt.
Besteht ein Zusammenhang zwischen dieser Sicherheitslücke und dem früheren THORChain-Hack?
Maya betreibt eine freundliche Abspaltung von THORChain, das im Mai 2026 Verluste in Höhe von rund 10,7 Millionen US-Dollar verzeichnete. Mitgründer Aaluxx gab an, dass der gleiche latente Fehler auch im Code von Maya existierte und tracbeidedentauf ältere Fehler zurück, die erst in Kombination gefährlich wurden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Ashish Kumar
Ashish Kumar ist Krypto- und Finanzjournalist mit acht Jahren Redaktionserfahrung. Er berichtet über aktuelle Entwicklungen auf den Kryptomärkten, Regulierungen, DeFiund Börsenökosystemen. Er hat bereits für Coingape, Todayq und Newsroompost gearbeitet. Ashish besitzt ein Postgraduate Diploma in English Journalism vom IIMC. Er hat außerdem Branchengrößen wie Arthur Hayes, Yat Siu, Austin Federa und andere interviewt.
