Maya Protocol 因六重漏洞利用损失 170 万美元，暴露 DeFi 安全漏洞

Maya Protocol 本周成为黑客攻击的受害者，该黑客利用了一个漏洞，指向一个更大的问题，即防御工具难以跟上复杂黑客攻击的步伐。区块链安全公司 CertiK 估计，直接总损失约为 $1.7 百万 因为黑客欺骗 Maya 发放不存在的补贴，然后反复添加和移除流动性，以从共享池中提取资产。

攻击的后果立即波及 Maya 的流动性提供者和 CACAO 持有者。更重要的是，这些漏洞不仅仅是由一行损坏的代码直接导致的。它利用了常规协议逻辑与预期行为不同的情况，使得这种类型的攻击在为时已晚无法阻止之前都无法被检测到。

攻击者如何操纵 Maya 的会计系统

根据CertiK的说法，该机构于8月19日识别出该事件，黑客通过虚假补贴歪曲了Maya的内部会计，最终改变流动性头寸以提取估计的4887万CACAO和9882万LINK。DefiLlama Hacks and Exploits Database将8月18日发生的事件分类为“协议逻辑”，归因于170万美元的损失。

更大的损害要显著得多。开发者Vini Barbosa称其为“复杂的6个漏洞利用”，从协议中夺走了超过136万美元的硬资产，但由于CACAO价格的崩溃，总体影响接近1100万美元。据他称，该代币在不到240个区块内从0.115美元跌至0.013美元，跌幅近89%。

Maya创始人之一Aaluxx在同一天意识到了损害。他补充说，团队将“努力修复并全额追回”。

THORChain 已经经历过的模式

Maya是THORChain的友好分支，THORChain在5月经历了自己的1070万美元黑客攻击。在其事后分析中，THORChain表示，新的节点运营商利用了网络GG20阈值签名系统中的漏洞，而系统的偿付能力检查仅在黑客攻击结束后才发现问题。

Aaluxx随后在THORChain的社区播客中澄清，黑客攻击基于三个较旧的漏洞，这些漏洞单独来看并不危险，但结合起来可能会造成问题。他继续表示，Maya也存在同样的潜在缺陷。

为了确定黑客攻击的原因，需要进行极其深入的法医调查。团队必须检查加密配置参数，并搜索不应存在的微小素数，以锁定受感染的金库。这实际上为防御者打开了一个普遍存在的缺陷：简单的余额监控器可以在资金易手后检测到损失，但到那时，可能已经太晚而无法阻止攻击继续。

升级防御实际上是什么样子的

Aaluxx 警告说，AI 技术使小团队能够同时从更多角度调查代码库。这对防御者有用，但也导致攻击者有更多方法发现现有审计流程可能无法检测到的独特漏洞。

他选择的解决方案是冗余，而不是依赖单一系统。Maya和THORChain没有采用集成方法，而是选择保持独立。通过这种方式，Maya可以在THORChain停用的数周期间，继续使用可验证的健康金库进行兑换。

这种比较特别有趣，因为 THORChain 自己的事后分析报告指出，其根本原因不是单一的严重缺陷，而是三个较旧的漏洞在串联在一起时变得可被利用。THORChain 还明确指出，相同的潜在漏洞也存在于 Maya 上，但此前未被利用。

DeFi 协议如何防止串联利用？

协议需要测试安全控制之间的交互，而不仅仅是单个漏洞。Maya的事件表明，当虚假盗窃检测、错误的出站交易处理和流动性会计错误结合时，可能会变得危险。更强的防御措施包括不变性测试、多步攻击路径的对抗性模拟、会计逻辑的独立审查、实时异常检测以及针对异常提款或池余额的自动断路器。本月发表的研究同样主张采用多层检测和防御，而不是依赖单一的安全机制。

这些区块级数据在事件重建中报告，并提供了一种特别有用的方式来连接漏洞利用机制 → 资产提取 → 代币价格损害。

损害控制

行业数据表明加强防御的重要性。根据TRM Labs的数据，2026年上半年加密货币世界发生了207次黑客攻击，这是半年来有记录以来最多的数量，并且指出智能合约正以多种不同方式受到攻击，而不仅仅是一个缺陷。Maya的漏洞利用完全符合这一趋势。

得出的结论是，不再可能通过识别和修复特定漏洞来确保 DeFi 的安全。协议必须涉及多层监控，独立使用各种审查机制，安装紧急停机机制，并能够在可疑交易变得不可逆转之前实施修复。

Maya 不仅希望解决眼前的问题。Aaluxx 表示，公司打算加速开发 Aztec Chain，这是一个基于从 Maya、THORChain 和 Rujira 等先前项目中吸取的经验教训而构建的全链 DeFi 项目。如果这些教训能帮助他们构建更好的解决方案，而不是简单地重新开始修复缺陷的循环，那么 Maya 事件的价值可能远超 170 万美元的损失。