Maya Protocol遭170万美元攻击暂停运营 代币CACAO暴跌88%

加密新闻

Maya Protocol(玛雅协议)宣布全面暂停运营。一次利用六个独立漏洞叠加的攻击,从该协议流动性池中卷走约170万美元的加密资产,其原生山寨币CACAO(CACAO)在极短时间内崩塌88%。联合创始人(化名Aaluxx Myth)在官方披露中证实损失,并说明攻击者已将被盗的CACAO兑换为比特币(BTC)、以太坊(ETH)及其他资产,之后把相应资金分散注入Maya全部流动性池中,以掩盖资金踪迹。这是8月以来DeFi安全事件连续发生的背景下又一起引发市场恐慌的案例。本次攻击的执行方式颇为特殊:攻击者通过一笔包含23条捆绑指令的交易,构建出一个让网络逻辑误认为“资产已在遭受损失”的状态,从而触发协议的赔偿分支。Maya设计本意是将资金池遗失部分补回,但赔偿逻辑没有设定上限,系统因此向一个几乎空置的资金池整体贷记约4900万枚CACAO。该资金池的真实储备仅16.8万枚CACAO,贷记金额远大于实际可支付的能力,导致内部转账失败,但虚增余额已经写入账本。攻击者随后向该池存入100枚CACAO,获得了99.93%的池子所有权,并顺势提取4887万枚CACAO——这几乎是CACAO总供应量(1亿枚)的一半。现货市场反应迅速,CACAO价格在约几个区块内从0.115美元最低一度跌至0.013美元,其后反弹至约0.032美元,较攻击前价格仍累计下跌超过70%。链上数据显示,攻击者分批将20.83个BTC(约价值134万美元)在约10个区块内转入单一比特币地址,几乎完成了全量赃款转移。事件发生后,联合创始人Aaluxx Myth在Discord上宣布全球暂停,冻结所有Maya流动性池的交易与提现,同时开展内部审计和损失评估,并向攻击者公开喊话:呼吁其归还盗取的资产。

从行业维度看,Maya事件是8月黑客攻击潮的缩影。链上安全数据平台DefiLlama的统计显示,8月迄今已记录至少16起重大加密黑客事件;叠加此案,2026年内累计黑客案例已达219起,总损失约12.6亿美元。相较之下,2025年全年行业共记录146起黑客案,但全年损失金额更高达27.1亿美元——高频次、低单笔金额正在成为新常态,攻击者不再只盯头部大型桥合约,而是将目标扩散到更多小市值协议。Maya的项目背景也为其风险画像添加了注脚:它由THORChain分叉而来,而THORChain作为跨链流动性协议,5月刚刚因一场攻击损失1070万美元。从继承代码到独立运营,Maya似乎未能完全消化上一代协议所遗留的参数逻辑风险。本次漏洞的实质在于,其补偿机制对单笔贷记金额毫无约束:攻击者从空池中获得约4900万枚CACAO的记账额度,账户却只有16.8万枚CACAO的实际储备,两者之间的缺口从未被真实资产填补,这如同一次失败的空投尝试,但余额却可以支取。正是依靠这种虚拟余额,攻击者用100枚CACAO作为入场券拿走99.93%的池子所有权,并成功提取4887万枚,直接导致代币价格短期内近乎归零。后续的追偿仍存在变量:若攻击者接受团队开出的赏金方案,部分损失或可追回;同时,Aaluxx Myth透露项目方已着手联系在暴跌过程中吸收了流动池价值的套利交易者,通过收回部分被套利盘吃掉的流动性来缩小最终损失。从事件演变来看,Maya团队仍保留了对协议进行重启的可能,但一切取决于账户回补与实际审计结果。

回退到攻击链的根部,团队事故报告披露的核心缺陷只有一个:补偿支付缺少上限。Maya协议向仅含16.8万枚CACAO的临时池子里贷记了近4900万枚CACAO,让一个与真实资产错配的巨大余额长时间留在账本上,最终被攻击者以极低成本取走。链上数据与团队披露互相印证:攻击者实际提取4887万枚CACAO,约20.83个BTC转至单一地址,对应约170万美元的总损失。面对此类漏洞,Maya给出的补救方案是全球暂停与赏金接洽,但项目能否真正脱险,还要看攻击者是否理睬以及双方是否达成转回资产的协议——截至本文发稿,相关进展官方尚未披露。对已经历219起攻击的整个加密生态系统来说,Maya案再次提醒:参数校验的缺失,其破坏力并不弱于私钥泄露;而山寨币在单区块内的暴涨暴跌,也让历史高位成为流动性最大的雷区。该教训同样适用于更广泛的DeFi赛道,包括Aave(AAVE)等借贷协议,在无上限参数、异常计数逻辑与极端预言机输入面前,任何未经逆向验证的代码都可能被构造为攻击向量。