MAYAChain遭170万美元漏洞攻击，暂停网络运行

Maya Protocol 因遭攻击损失约 170 万美元，已暂停网络运行

基于 THORChain 开源代码构建的跨链去中心化交易所 Maya Protocol 已暂停网络运行。据报告，一名攻击者利用多个软件漏洞，盗取了约 170 万美元的加密资产。该协议的匿名联合创始人 Aalux 表示，立即关闭网络是为了防止损失进一步扩大，同时团队正在努力修复问题，以恢复交易功能。

在 X 平台上发布的一份初步技术说明中，Aalux 称此次盗窃涉及约 20 枚比特币（价值约 140 万美元）以及约 30 万美元的其他资产。该说明还指出，攻击的影响远不止直接盗窃，MayaChain 的流动性池因后续连锁反应而损失了更大价值。

关键要点

Maya Protocol 在遭遇约 170 万美元的攻击后暂停运营，该攻击与交易记账和流动性池计算中的一系列软件漏洞有关。

据报告，攻击者的行为似乎操纵了针对低流动性池的提款和补偿计算方式。

尽管攻击者直接盗取的资产估值约 170 万美元，但技术分析显示，由于套利活动以及 MAYAChain 的 Gas/结算代币 CACAO 价格暴跌，流动性池的损失约达 1090 万美元。

该协议将此次事件归因于六个相互关联的问题，包括出站转账的追踪方式以及池子的信用额度计算方式。

Maya Protocol 事件经过

Maya Protocol 作为一个跨链兑换系统运行，此次事件的核心在于 MAYAChain 流动性池和协议控制的储备金。在该生态系统中，CACAO 作为 Gas 和结算代币，与流动性池中的支持资产配对。

Aalux 在 X 平台上分享的初步分析将此次事件归因于六个“链式漏洞”。描述重点集中在三个主要方面：交易账户、出站交易处理以及流动性池数学计算。根据该说明，攻击者覆盖了追踪出站转账的记录，导致这些转账被系统视为丢失。这种分类触发了盗窃保护机制——但该机制随后错误计算了 Maya 在 Arbitrum 上低流动性池 ARB.LINK 应获得的补偿金额。

这一错误计算导致该受影响池子被错误记入 4945 万枚 CACAO 的信用额度。尽管用于支撑该信用额度的转账因储备金中 CACAO 不足而失败，但虚高的池子余额仍留在链上。

池子操纵与资产提取

在池子余额被虚报后，攻击者仅添加了微不足道的流动性——目的是将被操纵的会计状态转化为对池子的控制权。Aalux 的技术说明指出，攻击者成功获得了该池子 99.93% 的份额，随后从 Asgard（系统持有协议资产的账户）中提取了 4887 万枚 CACAO。

区块链安全研究员 Vini Barbosa 总结调查结果，并指出了事件期间代币价格的影响。Barbosa 报告称，在攻击过程中，CACAO 价格下跌了 88.7%，从约 0.115 美元跌至约 0.013 美元。

因此，读者应区分两种不同的结果：攻击者直接提取的资产（Aalux 估计约 170 万美元）以及 token 和池子状态恶化后随之而来的更广泛的市场/流动性损失。

损失为何可能超过盗窃金额

尽管攻击者报告的收获约 170 万美元，但 Aalux 的分析表明，MayaChain 流动性池承受的损失要大得多——估计约 1090 万美元。该说明将这一更高数字归因于套利效应以及 CACAO 价格暴跌等影响。

这一区别对投资者和用户至关重要，因为它凸显了跨链 DEX 事件可能如何蔓延。当一种代币的价格和流动性条件迅速恶化时，系统可能产生连锁反应：套利者会在不同平台间重新平衡，池子会计变动可能引发深度减少和价格压力的反馈循环。换句话说，即使攻击者提取的金额有限，协议的流动性环境仍可能遭受不成比例的损害。

Aalux 还表示，该协议打算通过漏洞赏金计划追回被盗资金，并努力恢复流动性，同时在底层问题修复后恢复交易功能。

后续关注点

目前 Maya Protocol 已暂停运行，接下来需要关注的关键信号是：（1）团队能否恢复正确的流动性池记账和出站转账追踪；（2）CACAO 及受影响的池子能否在不触发新的攻击路径的情况下恢复。在完整的攻击后修复和恢复计划得到确认之前，主要的不确定性仍在于被利用的逻辑漏洞得到了多彻底的修补，以及流动性能够多快恢复。