Een reeks van zes softwarefouten maakte het mogelijk dat een aanvaller onterecht tokens kon opnemen, wat leidde tot een aanzienlijke daling van de liquiditeitspools.
Het cross-chain liquiditeitsprotocol Maya Protocol heeft zijn MAYAChain-netwerk noodgedwongen stilgelegd na een complexe aanval. Een aanvaller slaagde erin om via een keten van zes softwarefouten ongeveer 1,7 miljoen dollar (circa 1,56 miljoen euro) aan bitcoin en andere activa te stelen. De totale impact op de liquiditeitspools van het protocol wordt echter geschat op een veel hoger bedrag, namelijk zo’n 10,9 miljoen dollar (ongeveer 10 miljoen euro).
De exploit, die plaatsvond op 18 augustus 2026, werd door oprichter AaluxxMyth via X bevestigd. Hij meldde dat er zo’n 20 bitcoin, destijds ongeveer 1,4 miljoen dollar waard, en nog eens 300.000 dollar aan andere activa zijn buitgemaakt. Alle handel op het netwerk is stopgezet om verdere schade te voorkomen, en het team werkt aan een oplossing voordat de swaps hervat kunnen worden.
Hoe De Aanval Kon Plaatsvinden
MAYAChain is een kleiner netwerk dat gebruikers toelaat om activa zoals bitcoin en ether rechtstreeks te ruilen, zonder tussenkomst van een gecentraliseerde beurs. Handelaren ruilen tegen liquiditeitspools, waarbij de CACAO-token als gemeenschappelijk activum dient. Een technische reconstructie van de aanval toont aan dat een reeks van zes bugs samenkwam om de exploit mogelijk te maken.
Het begon allemaal toen MAYAChain ten onrechte dacht dat een uitgaande transactie verloren was gegaan. Dit activeerde code die bedoeld was om een liquiditeitspool te compenseren na een diefstal. Het veiligheidsmechanisme berekende de compensatie echter verkeerd en voegde ongeveer 49 miljoen CACAO toe aan een kleine pool, terwijl de reserves van MAYAChain slechts 168.000 CACAO konden dekken. Hoewel de overdracht mislukte, werd het nieuwe, onjuiste saldo wel opgeslagen in de netwerkrecords. Een andere bug zorgde ervoor dat MAYAChain bleef functioneren alsof de pool de extra tokens daadwerkelijk bevatte.
Gevolgen Voor De Pools En CACAO
De aanvaller maakte gebruik van deze fout door een klein bedrag in de verstoorde pool te storten, waardoor hij meer dan 99% van de pool in handen kreeg. Vervolgens trok hij onmiddellijk 48,87 miljoen CACAO terug en begon deze te ruilen voor bitcoin, ether en andere activa die in de pools van MAYAChain zaten. On-chain gegevens laten zien dat 20,83 BTC, ter waarde van ongeveer 1,34 miljoen dollar, naar het bitcoinadres van de aanvaller werd gestuurd. Daarnaast bleef 8,87 miljoen CACAO achter in de MAYAChain-wallet van de aanvaller.
De CACAO-token kelderde dramatisch door de verkoopdruk van de aanvaller. De koers daalde van ongeveer 0,115 dollar naar een dieptepunt van 0,013 dollar, een daling van bijna 89%, voordat deze enigszins herstelde naar ongeveer 0,03 dollar. Deze koersval veroorzaakte verdere schade. Arbitragehandelaren kochten de plotseling goedkope CACAO en ruilden deze voor bitcoin, ether en stablecoins in de pools van MAYAChain, wat de totale waarde van de pools verder deed slinken.
Herstel En Toekomst
De technische analyse schat dat de aanvaller persoonlijk ongeveer 1,65 miljoen dollar heeft buitgemaakt. De totale daling van de poolwaarde, die 10,9 miljoen dollar bedraagt, is echter breder. Ongeveer 6,4 miljoen dollar hiervan is te wijten aan de waardevermindering van CACAO zelf, en nog eens 2,9 miljoen dollar kwam door arbitragehandel. Het team van MAYAChain hoopt dat de aanvaller de fondsen zal teruggeven in ruil voor een bug bounty. Indien de fondsen niet worden terugbezorgd, zal het team proberen de ongeveer 20 BTC te vervangen via investeringen in Aztec Chain en andere middelen. Het herstellen van de software alleen is niet voldoende om de pools te herstellen, aangezien veel van de CACAO die via de exploit is gecreëerd, is geruild en nu vermengd is met tokens van gewone liquiditeitsverschaffers.