Maya Protocolで約170万ドル流出、6つの脆弱性悪用で20BTC超が被害

複数のバグを連鎖的に悪用、MAYAChainはネットワークを停止

クロスチェーンDEX（分散型取引所）のMaya Protocol（マヤプロトコル）が攻撃を受け、約170万ドル（約2.7億円）相当の仮想通貨が被害を受けたことが明らかになった。

#CertiKInsight 🚨

We have seen a ~$1.7M exploit on @Maya_Protocol.

The attacker inflated https://t.co/1bbf3CvbFn accounting with a false subsidy, then add/remove liquidity
to extract ~48.87M CACAO and 98.82 LINK from shared liquidity.

Stay Vigilant!https://t.co/x0tRILJf0i pic.twitter.com/Hqk0Sowj9x

— CertiK Alert (@CertiKAlert) August 19, 2026

攻撃者はプロトコル内に存在した6つの脆弱性を組み合わせて内部会計や流動性プールを操作し、20BTC超を含む資産を流出させた。Maya Protocolはさらなる被害を防ぐためネットワークを停止し、修正と復旧作業を進めている。

23件のメッセージで6つのバグを連鎖的に悪用

Maya Protocolの匿名共同創設者Aalux氏が共有した予備的な技術分析によると、今回の攻撃は2026年8月18日（火曜日）に発生し、取引口座、送金処理、流動性プールの計算などに関係する6つのバグが連鎖的に悪用された。

Sad news 😕
Will work to fix and recover in full. We carry on. @Maya_Protocol pic.twitter.com/EYK9BeWWLI

— Aaluxx⚡️🍫🛡️ (@AaluxxMyth) August 18, 2026

攻撃者は23件のメッセージを含む単一のトランザクションを実行し、送金記録を上書きしたことで、プロトコルの盗難防止メカニズムを誤作動させた。これにより、流動性の低いArbitrum Chainlink（ARB.LINK）プールへの補償額が誤って計算され、約4,945万CACAOがプール残高として計上されたという。

その後、攻撃者は少量の流動性を追加して同プールの99.93%を取得し、プロトコル資産を保有するAsgardから4,887万CACAOを引き出した。分析では4,887万CACAOと9,882LINKが取得されたほか、20.83BTCが外部へ移動したとされている。

外部ブロックチェーンへ移された実物資産は136万ドル（約2.16億円）以上に上り、MAYAChain内に残ったCACAOなどを含め、攻撃者が得た利益は約170万ドルと推定されている。

CACAO価格は約89%急落、プール価値は約1,090万ドル減少

今回の攻撃では、資産の直接的な流出に加えて、MAYAChainの流動性プールにも大きな影響が生じた。

独立系ブロックチェーンセキュリティ研究者ヴィニ・バルボサ（Vini Barbosa）氏によると、CACAO価格は攻撃前の約0.115ドルから約0.013ドルまで下落し、88.7%の急落を記録した。

予備的な分析では、CACAO価格の下落や裁定取引による影響を含め、MAYAChainの流動性プール全体で約1,090万ドル（約17.3億円）の価値が失われたと推定されている。ただし、これは攻撃者が直接盗み出した金額ではなく、プールの評価額減少を含んだ数字となる。

Maya Protocolはインシデントを受けてネットワークを停止し、さらなる被害を阻止した。Aalux氏は、チームがスワップ再開に向けた修正と流動性の回復に取り組んでいるほか、バグ報奨金制度を通じて攻撃者に盗まれた資金の返還を求める方針を示している。