Protocolo Maya perde US$ 1,7M enquanto exploit de seis bugs expõe lacunas de segurança no DeFi

O Protocolo Maya foi vítima de um hacker esta semana que explorou uma falha que aponta para um problema maior, a saber, que as ferramentas de defesa têm dificuldades em acompanhar hacks sofisticados. A empresa de segurança blockchain CertiK estimou que a perda direta total foi de aproximadamente $1.7 milhões pois o hacker enganou a Maya para conceder um subsídio inexistente e, em seguida, adicionou e removeu liquidez repetidamente para extrair ativos de pools compartilhados.

As consequências do ataque atingiram imediatamente os provedores de liquidez da Maya e os detentores de CACAO. O que é mais importante é que as vulnerabilidades não foram apenas o resultado direto de uma linha de código quebrada. Aproveitou-se do comportamento da lógica regular do protocolo de maneira diferente do que era esperado, tornando esse tipo de ataque indetectável até que já fosse tarde demais para impedi-lo.

Como o atacante manipulou a contabilidade da Maya

De acordo com a CertiK, que identificou o evento em 19 de agosto, o hacker causou uma representação falsa da contabilidade interna da Maya por meio de um subsídio falso, apenas para finalmente alterar as posições de liquidez e retirar um estimado de 48,87 milhões de CACAO e 98,82 LINK. O banco de dados de Hacks e Explorações da DefiLlama classificou a ocorrência de 18 de agosto como “Lógica do Protocolo”, atribuindo uma perda de US$ 1,7 milhão.

O dano maior foi consideravelmente mais significativo. O desenvolvedor Vini Barbosa o chamou de uma “exploração sofisticada de 6 bugs” que retirou mais de US$ 1,36 milhão em ativos reais do protocolo, mas teve um impacto geral de quase US$ 11 milhões dada a queda no preço do CACAO. De acordo com ele, o token caiu de US$ 0,115 para US$ 0,013 em menos de 240 blocos e registrou uma queda de quase 89%.

Aaluxx, um dos fundadores da Maya, reconheceu o dano no mesmo dia. Ele acrescentou que a equipe irá “trabalhar para corrigir e recuperar integralmente.”

Um padrão que o THORChain já viveu

Maya é um fork amigável do THORChain, que experimentou seu próprio hack de US$ 10,7 milhões em maio. Em sua análise pós-mortem, o THORChain disse que um novo operador de nó aproveitou vulnerabilidades no sistema de assinatura de limiar GG20 da rede, e as verificações de solvência do sistema só perceberam que havia um problema após o hack ter terminado.

Aaluxx posteriormente esclareceu no podcast da comunidade do THORChain que o hack foi baseado em três bugs mais antigos que não eram perigosos por si sós, mas quando combinados poderiam ser problemáticos. Ele continuou dizendo que a Maya também tinha essa mesma falha latente.

Para determinar a causa do hack, foi necessária uma investigação forense extremamente aprofundada. A equipe teve que examinar parâmetros de configuração criptográfica e procurar por números primos insignificantes que não deveriam estar presentes para identificar as caixas-fortes infectadas. Isso essencialmente abre uma falha geral para os defensores: um monitor de saldo simples pode potencialmente detectar perdas depois que os fundos já mudaram de mãos, ponto a partir do qual pode ser tarde demais para impedir que o ataque continue.

Como a atualização da defesa realmente se parece

A Aaluxx alertou que a tecnologia de IA está permitindo que pequenas equipes investiguem bases de código a partir de um número maior de perspectivas simultaneamente. Isso é útil para os defensores, mas também resulta em mais métodos para os atacantes descobrirem vulnerabilidades únicas que os processos de auditoria existentes podem falhar em detectar.

Sua solução escolhida foi redundância em vez de depender de um único sistema. Maya e THORChain não seguiram uma abordagem de integração, mas escolheram permanecer independentes. Dessa forma, a Maya poderia continuar realizando swaps usando uma caixa forte saudável verificável enquanto o THORChain estava inativo por semanas.

A comparação é particularmente interessante porque o próprio pós-mortem do THORChain diz que sua causa raiz não foi uma falha dramática, mas três bugs antigos que se tornaram exploráveis quando encadeados. O THORChain também observa explicitamente que o mesmo bug latente existia na Maya, mas não havia sido explorado anteriormente.

Como os protocolos DeFi podem prevenir exploits encadeados?

Os protocolos precisam testar interações entre controles de segurança, não apenas vulnerabilidades individuais. O incidente da Maya mostra como a detecção falsa de roubo, o manuseio incorreto de transações de saída e erros de contabilidade de liquidez podem se tornar perigosos quando combinados. Defesas mais fortes incluem testes de invariantes, simulação adversarial de caminhos de ataque de múltiplas etapas, revisão independente da lógica de contabilidade, detecção de anomalias em tempo real e disjuntores automáticos para retiradas anormais ou saldos de pool. Pesquisas publicadas este mês argumentam da mesma forma por detecção e defesa em camadas múltiplas em vez de depender de um único mecanismo de segurança.

Essas figuras em nível de bloco são relatadas na reconstrução do incidente e fornecem uma maneira particularmente útil de conectar mecânica da exploração → extração de ativos → dano ao preço do token.

Contenção de danos

Os dados do setor apontam para a importância de reforçar as defesas. De acordo com a TRM Labs, houve 207 hacks no mundo das criptomoedas nos primeiros seis meses de 2026, o maior número já registrado em um período de meio ano, e afirma que os contratos inteligentes estão sendo cada vez mais atacados de várias maneiras diferentes, em vez de apenas uma falha. A exploração da Maya se encaixa perfeitamente nessa tendência.

A conclusão alcançada é que já não é mais possível garantir a segurança do DeFi sem identificar e corrigir bugs específicos. Os protocolos devem envolver monitoramento em camadas múltiplas, uso de vários mecanismos de revisão de forma independente, instalação do mecanismo de parada rápida em caso de emergência e a capacidade de implementar as correções antes que a transação questionável se torne irreversível.

Maya não quer apenas resolver o problema em questão. A Aaluxx indicou que a empresa pretende acelerar o desenvolvimento de Aztec Chain, um projeto DeFi omnichain baseado no que foi aprendido com seus projetos anteriores, Maya, THORChain e Rujira. Se essas lições puderem ajudá-los a construir soluções melhores, em vez de simplesmente reiniciar o ciclo de correção de defeitos, o incidente Maya pode acabar sendo mais valioso do que a perda de US$ 1,7 milhão sugere.