Maya Protocol perde 1,7 milioni di dollari a causa di una vulnerabilità che ha messo in luce le falle di sicurezza DeFi sfruttando sei bug

Questa settimana Maya Protocol è stata vittima di un attacco hacker che ha sfruttato una falla, evidenziando un problema più ampio: gli strumenti di difesa faticano a tenere il passo con gli attacchi più sofisticati. La società di sicurezza blockchain CertiK ha stimato che la perdita diretta totale si aggiri intorno a 1,7 milioni di dollari, poiché l'hacker ha indotto Maya ad erogare un sussidio inesistente e ha poi ripetutamente aggiunto e rimosso liquidità per appropriarsitracasset dai pool condivisi.

Le conseguenze dell'attacco si sono abbattute immediatamente sui fornitori di liquidità di Maya e sui detentori di CACAO. Ancora più importante, le vulnerabilità non erano semplicemente il risultato diretto di una riga di codice errata. Sfruttavano un comportamento anomalo della logica del protocollo, rendendo questo tipo di attacco irrintracciabile fino a quando non era ormai troppo tardi per fermarlo.

Come l'aggressore ha manipolato l'account di Maya

Secondo CertiK, che hadentl'evento il 19 agosto, l'hacker ha causato una falsificazione della contabilità interna di Maya attraverso un sussidio fasullo, per poi alterare le posizioni di liquidità e prelevare circa 48,87 milioni di CACAO e 98,82 LINK. DefiLlama Hacks and Exploits ha classificato l'evento del 18 agosto come "Logica del protocollo", attribuendogli una perdita di 1,7 milioni di dollari.

Il danno maggiore è stato considerevolmente più significativo. Lo sviluppatore Vini Barbosa l'ha definito un "sofisticato exploit a 6 bug" che ha sottratto oltre 1,36 milioni di dollari in asset reali dal protocollo, ma ha avuto un impatto complessivo di quasi 11 milioni di dollari dato il crollo del prezzo di CACAO. Secondo lui, il token è sceso da 0,115 a 0,013 dollari in meno di 240 blocchi, registrando un calo di quasi l'89%.

Aaluxx, uno dei fondatori di Maya, ha riconosciuto il danno lo stesso giorno. Ha aggiunto che il team "lavoreràper riparare e ripristinare completamente il sistema".

Uno schema che THORChain ha già vissuto

Maya è una derivazione amichevole di THORChain, che a maggio ha subito un attacco hacker da 10,7 milioni di dollari . Nella sua analisi post-mortem, THORChain ha affermato che un nuovo operatore di nodo ha sfruttato le vulnerabilità del sistema di firma a soglia GG20 della rete e che i controlli di solvibilità del sistema hanno rilevato il problema solo dopo che l'attacco era terminato.

Aaluxx ha successivamente chiarito nel podcast della community di THORChain che l'attacco informatico si basava su tre vecchi bug che, presi singolarmente, non erano pericolosi, ma che, se combinati, potevano rivelarsi problematicimaticHa poi aggiunto che anche Maya presentava la stessa vulnerabilità latente.

Per determinare la causa dell'attacco informatico, è stata necessaria un'indagine forense estremamente approfondita. Il team ha dovuto esaminare i parametri di configurazione crittografica e ricercare numeri primi insignificanti che non dovrebbero essere presenti, al fine di individuare i vault infetti. Questo, in sostanza, apre una falla generale per i sistemi di difesa: un semplice sistema di monitoraggio del saldo può potenzialmente rilevare le perdite solo dopo che i fondi sono già stati trasferiti, momento in cui potrebbe essere troppo tardi per impedire che l'attacco prosegua.

Ecco come si presenta concretamente un potenziamento della difesa

Aaluxx ha avvertito che la tecnologia AI sta consentendo a piccoli team di analizzare i codebase da un numero maggiore di prospettive simultaneamente. Questo è utile per i difensori, ma si traduce anche in un maggior numero di metodi per gli attaccanti per scoprire vulnerabilità uniche che i processi di audit esistenti potrebbero non riuscire a rilevare.

La soluzione da lui scelta è stata la ridondanza, piuttosto che la dipendenza da un unico sistema. Maya e THORChain non hanno optato per un approccio di integrazione, ma hanno scelto di rimanere indipendentident In questo modo, Maya ha potuto continuare a effettuare scambi utilizzando un vault verificato e funzionante, anche quando THORChain è rimasto inattivo per settimane.

Il confronto è particolarmente interessante perché l'analisi post-mortem di THORChain afferma che la causa principale non è stata un singolo difettomatic , bensì tre bug preesistenti che, combinati insieme, sono diventati sfruttabili. THORChain sottolinea inoltre esplicitamente che lo stesso bug latente era presente anche in Maya, ma non era stato precedentemente sfruttato.

In che modo i protocolli DeFi possono prevenire gli attacchi a catena?

I protocolli devono testare le interazioni tra i controlli di sicurezza, non solo le singole vulnerabilità. L'incidente di Mayadent come la rilevazione errata dei furti, la gestione difettosa delle transazioni in uscita e gli errori di contabilità della liquidità possano diventare pericolosi se combinati.tronincludono test di invarianza, simulazione avversariale di percorsi di attacco a più fasi, revisione indipendentedent logica contabile, rilevamento delle anomalie in tempo reale e interruttori automaticimatic prelievi anomali o saldi dei pool. Una ricerca pubblicata questo mese sostiene analogamente la necessità di un rilevamento e di una difesa multilivello, piuttosto che affidarsi a un singolo meccanismo di sicurezza.

Questi dati a livello di blocco sono riportati nelladent e forniscono un modo particolarmente utile per collegare i meccanismi di sfruttamento → l'estrazione degli assettracil danno al prezzo dei token.

Contenimento dei danni

I dati del settore evidenziano l'importanza di rafforzare le difese. Secondo TRM Labs, nei primi sei mesi del 2026 si sono verificati 207 attacchi informatici nel mondo delle criptovalute, il numero più alto mai registrato in un semestre, e si afferma che gli smart contracttracattaccati sempre più spesso in diversi modi, non solo sfruttando una singola vulnerabilità. L'exploit Maya si inserisce perfettamente in questa tendenza.

La conclusione raggiunta è che non è più possibile garantire la sicurezza DeFi senzadente correggere specifici bug. I protocolli devono prevedere un monitoraggio multilivello, l'utilizzo di diversi meccanismi di revisionedent, l'implementazione di un meccanismo di arresto rapido in caso di emergenza e la capacità di attuare le correzioni prima che la transazione sospetta diventi irreversibile.

Maya non vuole solo risolvere il problema attuale. Aaluxx ha indicato che l'azienda intende accelerare lo sviluppo di Aztec Chain, un DeFi basato su quanto appreso dai suoi progetti precedenti, Maya, THORChain e Rujira. Se queste lezioni si rivelassero utili per sviluppare soluzioni migliori anziché limitarsi a ricominciare da capo il ciclo di correzione dei difetti, l'incidente di Mayadent rivelarsi più vantaggioso di quanto suggerisca la perdita di 1,7 milioni di dollari.