Протокол Maya потерял 1,7 млн ​​долларов из-за уязвимости, выявленной в результате обнаружения шести ошибок, что привело к уязвимостям в системе безопасности DeFi

На этой неделе протокол Maya стал жертвой хакера, который воспользовался уязвимостью, указывающей на более серьезную проблему, а именно на то, что инструменты защиты не справляются со сложными хакерскими атаками. Компания CertiK, специализирующаяся на безопасности блокчейна, оценила общий прямой ущерб примерно в 1,7 миллиона долларов, поскольку хакер обманом заставил Maya предоставить несуществующую субсидию, а затем неоднократно добавлял и удалял ликвидность для извлеченияtracиз общих пулов.

Последствия атаки сразу же ударили по поставщикам ликвидности Maya и держателям CACAO. Что еще важнее, уязвимости были не просто прямым результатом неправильной строки кода. Они использовали особенности логики протокола, которые вели себя не так, как ожидалось, что делало этот тип атаки незаметным до тех пор, пока не становилось слишком поздно его предотвратить.

Как злоумышленник обманул бухгалтерские данные Майи

Согласно данным CertiK, котораяdentинцидент 19 августа, хакер исказил внутреннюю бухгалтерскую отчетность Maya, используя поддельную субсидию, а затем изменил позиции ликвидности, чтобы вывести примерно 48,87 млн ​​CACAO и 98,82 млн LINK. DefiLlama Hacks and Exploits Database классифицировала инцидент 18 августа как «Протокольная логика», указав на ущерб в размере 1,7 млн ​​долларов.

Ущерб оказался значительно больше. Разработчик Вини Барбоса назвал это «сложной уязвимостью с шестью ошибками», которая вывела из протокола более 1,36 миллиона долларов в виде материальных активов, но в целом привела к падению цены CACAO почти на 11 миллионов долларов . По его словам, токен упал с 0,115 до 0,013 доллара менее чем за 240 блоков, зафиксировав падение почти на 89%.

Аалукс, один из основателей Maya, признал масштабы ущерба в тот же день. Он добавил, что команда «будетработать над устранением неполадок и полным восстановлением».

Шаблон, который уже был реализован в рамках проекта THORChain

Maya — это дружественное ответвление THORChain, которая в мае также подверглась хакерской атаке на сумму 10,7 миллиона долларов . В своем анализе после инцидента THORChain заявила, что новый оператор узла воспользовался уязвимостями в системе пороговых сигнатур GG20 сети, и проверки платежеспособности системы обнаружили проблему только после завершения взлома.

Впоследствии Aaluxx уточнил в подкасте сообщества THORChain, что взлом был основан на трех старых ошибках , которые сами по себе не представляли опасности, но в сочетании могли создать серьезные проблемыmaticОн также добавил, что в Maya также присутствовала эта же скрытая уязвимость.

Для определения причины взлома потребовалось чрезвычайно тщательное криминалистическое расследование. Команде пришлось изучить параметры криптографической конфигурации и искать несущественные простые числа, которых там быть не должно, чтобы точно определить зараженные хранилища. Это, по сути, создает общую уязвимость для защитников: простой монитор баланса потенциально может обнаружить потери после того, как средства уже перешли из рук в руки, и к этому моменту может быть уже слишком поздно предотвратить продолжение атаки.

Как на самом деле выглядит модернизация обороны

Компания Aaluxx предупредила, что технологии искусственного интеллекта позволяют небольшим командам одновременно исследовать кодовые базы с большего числа точек зрения. Это полезно для специалистов по защите, но также открывает перед злоумышленниками больше возможностей для выявления уникальных уязвимостей, которые существующие процессы аудита могут не обнаружить.

Он выбрал решение, основанное на резервировании , а не на зависимости от одной системы. Maya и THORChain отказались от интеграционного подхода, предпочтя остаться независимымиdent Таким образом, Maya могла продолжать осуществлять обмены, используя проверенное и работоспособное хранилище, в то время как THORChain был неактивен в течение нескольких недель.

Сравнение особенно интересно, потому что в собственном анализе THORChain говорится, что первопричиной стала не однаmatic ошибка, а три более старых бага, которые стали эксплуатируемыми при последовательном возникновении. THORChain также прямо отмечает, что аналогичный скрытый баг существовал и в Maya, но ранее не был использован.

Как протоколы DeFi могут предотвратить цепочку эксплойтов?

Протоколы должны проверять взаимодействие между средствами контроля безопасностис Майейdent показывает, как ложное обнаружение кражи, некорректная обработка исходящих транзакций и ошибки учета ликвидности могут стать опасными в совокупности. Болееtronсредства защиты включают в себя инвариантное тестирование, моделирование многоэтапных путей атаки, независимыйdent логики учета, обнаружение аномалий в реальном времени и автоматическиеmatic для аномальных снятий средств или остатков пула. Исследование, опубликованное в этом месяце, также выступает за многоуровневое обнаружение и защиту, а не за использование одного механизма безопасности.

Эти данные на уровне блоков приводятся в отчетеdent и представляют собой особенно полезный способ связать механику эксплуатации → извлечение активовtracущерб от изменения цены токенов.

локализация ущерба

Данные из отрасли указывают на важность усиления защиты. По данным TRM Labs, за первые шесть месяцев 2026 года в мире криптовалют было зафиксировано 207 хакерских атак , что является самым большим числом за полугодовой период за всю историю наблюдений, и отмечается, что смарт-контрактыtracчаще подвергаются атакам несколькими различными способами, а не только с помощью одной уязвимости. Эксплойт Maya идеально вписывается в эту тенденцию.

В итоге был сделан вывод, что обеспечить безопасность DeFi безdentи исправления конкретных ошибок больше невозможно. Протоколы должны включать многоуровневый мониторинг, использование различных механизмов проверки независимо другdent, установку механизма быстрой остановки в случае чрезвычайной ситуации и возможность внедрения исправлений до того, как сомнительная транзакция станет необратимой.

Компания Maya не просто хочет решить существующую проблему. Aaluxx сообщила, что намерена ускорить разработку Aztec Chain, многоцепочечного DeFi проекта, основанного на опыте предыдущих проектов Maya, THORChain и Rujira. Если эти уроки помогут им создавать более эффективные решения, а не просто начинать заново цикл исправления ошибок, инцидент с Mayadent оказаться гораздо более ценным, чем предполагает потеря 1,7 миллиона долларов.