Maya ProtocolがCACAOの170万ドル流出で運営停止

暗号資産ニュース

Maya Protocolは、攻撃者が6つのバグを連鎖させ、プロトコルの流動性プールから約170万ドルを奪取した後、運営を停止した。共同創設者(仮名)のAaluxx Myth氏が損失を公表した。チームによれば、攻撃者は盗んだCACAOをビットコイン(BTC)やイーサリアム(ETH)などに交換し、資金をすべてのMaya流動性プールに分散させたという。この不正流出は、8月に相次ぐDeFiセキュリティ問題の最新例となった。攻撃は23のバンドル命令を含む1回のトランザクションで実行され、ネットワークに盗難がすでに発生したと誤認させた。その後、プロトコルはプールを補填しようとしたが、支払いロジックに上限がなく、ほぼ空のプールに約4,900万CACAOが入金された。実際の準備金は16万8,000CACAOしかなく、転送は失敗し、膨張した残高が帳簿に残った。攻撃者は100 CACAOを預け入れ、プール所有権の99.93%を掌握した後、4,887万CACAOを引き出した。これはトークンの総供給量1億のほぼ半分に相当する。88%の暴落は数ブロックでトークンの価値を消し去り、会計上の欠陥が市場全体の売りに連鎖したことを示した。CACAOは$0.115から最低$0.013まで下落し、その後約$0.032に戻ったが、不正流出前の水準から70%以上下落した。オンチェーンデータによると、攻撃者は約10ブロックにわたり20.83 BTC(約134万ドル)を1つのビットコインアドレスに送金した。創設者のAaluxx Myth氏はDiscordでプロジェクトの全面停止を宣言し、攻撃者に資金返還を呼びかけた。この全面停止は、チームが不正流出を調査し被害を評価する間、Mayaの全プールでの活動を凍結する。

Maya事件は、DefiLlamaのデータによると、8月だけで16件目の暗号資産ハッキングとなった。2026年の総件数は219件で、総額12億6,000万ドルに上る。これは2025年全体の146件をすでに上回っているが、2025年のドル損失は27億1,000万ドルとさらに高かった。また、MayaはTHORChainからフォークしたプロトコルであり、THORChainは5月に1,070万ドルの不正流出を被っていた。8月の件数はDeFiの脆弱性が持続していることを示しており、攻撃者はスワッププロトコルとそのパラメータロジックをますます標的にしている。Mayaのケースでは、上限のない補償メカニズムが悪用された。システムはほぼ空のプールに約4,900万CACAOを入金し、準備金が16万8,000CACAOしかなかったため、この入金は裏付けのないままだった。攻撃者は100 CACAOの預け入れでこの幽霊残高を請求し、プール所有権の99.93%を取得して4,887万トークンを引き出した。これは総供給量のほぼ半分だ。攻撃者がチームの報奨金申し出に応じるかどうかが、損失回収額を左右する。Aaluxx Myth氏はまた、売り浴びせの際にプール価値を吸収した裁定取引トレーダーに連絡すると述べており、最終的な損失額は資金回収に応じて変動する可能性がある。THORChainからフォークしたプロトコルにとって、この事件は、継承したコードベースに独立した監査の精査が必要であることを再認識させるものだ。2026年の数字は、公開報告された事件からまとめられたもので、平均的なドル影響は2025年と比較して緩和された一方で、攻撃頻度は加速し、攻撃者は最大のブリッジに集中するのではなく、より広範な標的に焦点を広げていることを示している。

不正流出の根本原因は、チームのインシデント開示に記載された通り、上限のない補償支払いだ。プロトコルはほぼ空のプールに4,900万CACAOを入金し、裏付けのない残高を攻撃者が請求した。オンチェーンデータは規模を裏付けており、4,887万CACAOの引き出しと1つのアドレスへの20.83 BTC送金が、チームが開示した約170万ドルの損失と一致する。是正措置は、全面停止と報奨金の提供であり、攻撃者の応答次第だが、まだ開示されていない。今年すでに219件の不正流出を追跡している業界にとって、この事件は、パラメータ検証の欠陥が秘密鍵の侵害と同じくらい費用がかかる可能性があること、そしてアルトコインの過去最高値が一瞬で消え去ることを思い出させる。この教訓は、スワッププロトコルからAaveなどの融資市場まで、DeFi全体に当てはまる。