一次跨链攻击迫使Maya Protocol 关闭其整个网络，此前一名攻击者通过串联六个独立的软件缺陷，盗走了约 170 万美元的比特币和其他数字资产。此次Maya Protocol 漏洞利用在周三触发了全球范围的停机，并使该项目的原生代币 CACAO 几乎瞬间暴跌，引发了人们对跨链基础设施安全性的再度质疑。
Summary
要点速览
- 在攻击者盗走估计170 万美元加密资产后，Maya Protocol 已暂停其跨链网络。
- 攻击者在一笔包含 23 条消息的交易中串联利用了六个独立的软件缺陷。
- 约 136 万美元被转移到外部区块链，而大约 29.1 万美元仍留在攻击者控制的 MAYAChain 头寸中。
- 攻击者窃取了约20 枚比特币（价值约 140 万美元），以及另外 30 万美元的其他资产。
- CACAO 价格暴跌88.7%，在事件期间从约 0.115 美元跌至 0.013 美元。
Maya Protocol 漏洞是如何发生的
这次攻击并非由单一漏洞导致，而是对协议在交易和记账层面多个弱点进行精心排序组合的结果。Maya Protocol 的化名联合创始人 Aalux 周三证实，在团队启动全网停机以阻止进一步损失之前，攻击者已经带走了约 20 枚比特币（价值约 140 万美元），以及额外 30 万美元的其他资产。
Aalux 分享的初步技术分析将此次入侵追溯到一条由六个相互关联缺陷组成的链条，涉及交易账户、出站交易处理以及流动性池计算。攻击者并未只利用某一个薄弱点，而是将这些漏洞缝合进一笔包含 23 条消息的单一交易中，使 MAYAChain 系统的多个部分几乎在同一时间被操纵。
操纵流动性稀薄的资金池
根据调查结果，攻击者首先诱骗协议自身的盗窃检测机制做出错误响应。在这一安全防线被中和后，他们随即抬高了一个流动性有限资金池的价值，并利用这种扭曲，从 Maya 的 Asgard 模块中提取了 4,887 万枚 CACAO 代币——该模块是用于存放结算跨链兑换所需资产的金库系统。
由于 Maya Protocol 允许用户在不同区块链之间直接兑换原生资产，而无需通过中心化交易所，其金库和流动性记账系统处于每一笔交易的核心位置。正是这种核心地位，使得这次漏洞利用格外具有破坏性：记账逻辑中的一个缺陷并非只影响某一个交易对，而是波及整个结算流程。
损失规模与 CACAO 代币暴跌的量化
独立区块链安全研究员 Vini Barbosa 在审阅初步数据后表示，事件期间 CACAO 暴跌 88.7%，从约 0.115 美元跌至仅 0.013 美元。这种跌幅使得对损失的精确统计变得复杂，因为这次攻击既打击了被直接盗走的资金，也冲击了仍留在 Maya 资金池中的流动性市值。
技术分析估算，资金池总价值下跌了约 1,090 万美元，但研究人员谨慎地没有将这一数字全部归类为被盗资金——其中相当一部分反映的是套利交易和 CACAO 自身的贬值，而非攻击者真正装进口袋的资产。更精确的拆分显示，约 136 万美元被转移到外部区块链，而大约 29.1 万美元则停留在攻击者控制的 CACAO 持仓和 MAYAChain 上的交易账户头寸中。
对于试图评估这类跨链网络攻击真实严重程度的人来说，头条曝光金额与实际被提取价值之间的差距至关重要。今年类似的模式屡次出现：最初被报道为“处于风险中”的金额，往往远高于攻击者最终真正带走的数额。
跨链 DeFi 中并非孤立的事件
Maya 的停机属于 2026 年互操作性协议领域中更广泛且令人不安的趋势之一。6 月，Axelar 在约 470 万美元跨链资产因 Secret 侧智能合约缺陷被盗后，禁用了与 Secret Network 相连的桥接路径，尽管 Axelar 坚称其核心基础设施未受影响。
Echo Protocol 提供了另一个具有借鉴意义的对比案例。5 月，一名攻击者在 Monad 上铸造了约 7,670 万美元的未授权 eBTC，但安全研究人员随后得出结论，实际被盗价值更接近 81.6 万美元——头条铸币规模与真实经济损失之间存在巨大差距，与目前在 Maya 正被梳理的情况在本质上类似。该事件被追溯到一把遭到泄露的管理私钥，Monad 联合创始人 Keone Hon 指出，底层网络在整个过程中一直保持正常运行。
THORChain 的经历或许是最接近的平行案例。区块链调查员 ZachXBT 在 5 月指出至少 1,000 万美元的损失，协议随后证实，在一名新轮换的节点运营者利用其 GG20 阈值签名方案中的缺陷重构出私钥后，其五个金库中的一个被盗走约 1,070 万美元。自动偿付能力检查在几分钟内就停止了跨链签名。THORChain 节点运营者随后批准了一项使用协议自有流动性进行恢复的计划——未增发 RUNE、未出售 RUNE、也未稀释持有人——网络在离线一个多月后于 6 月 23 日恢复交易。
Transit Finance 也在 5 月遭遇了一次规模较小的打击，在安全公司 PeckShield 披露的一次攻击中损失约 188 万美元，不过其尚未发布详细的技术事后分析报告。
为何跨链协议频频中招
上述每个案例都指向同一底层脆弱点：跨链系统在设计上需要多个组件协同运作——验证者、流动性池、金库模块、签名方案——在不同区块链之间相互通信。这种复杂性成倍放大了攻击面。crypto.news 在 7 月对跨链桥的评估指出，此类系统可能依赖锁定与铸造、销毁与铸造或基于流动性的设计，其验证机制则依靠验证者、多重签名架构或密码学证明。每增加一层，就多出一个潜在的失效点，而 Maya 的这次漏洞表明，当没有任何单一检查能捕捉到完整模式时，六个看似不大的缺陷就可以被组合成一次破坏性极强的攻击序列。
对于用户和流动性提供者而言，这一点尤为重要，因为此类区块链安全漏洞不仅让协议本身蒙受损失——还会侵蚀整个跨链兑换模式的信心，而当前互操作性常被视为 DeFi 下一阶段的重要突破口。
Maya Protocol 接下来会怎样
Maya Protocol 尚未给出完全恢复兑换服务的时间表。Aalux 表示，全球停机已经遏制了进一步损失，工程师正着手修复恢复跨链交易所需的组件，重点针对允许那笔包含 23 条消息的交易得逞的交易账户行为、出站交易处理以及流动性计算逻辑。
Maya 能否迅速重建信任，可能取决于其披露修复过程的透明度——以及更广泛的CACAO 代币暴跌究竟只是一次短期冲击，还是在交易恢复后会对协议的流动性基础造成持久伤害。
常见问题
Maya Protocol 漏洞的原因是什么？
此次攻击利用了一笔包含 23 条消息的交易中的六个相互关联的软件缺陷，对交易账户、出站交易处理以及流动性池计算进行了操纵。
Maya Protocol 如何应对这起 170 万美元的攻击事件？
Maya Protocol 启动了全球停机以阻止进一步损失，并开始着手修复恢复跨链兑换所需的功能。
这次攻击对 CACAO 代币价格造成了什么影响？
CACAO 代币价格下跌了 88.7%，在事件期间从约 0.115 美元跌至 0.013 美元。
此次攻击中被盗的加密货币有多少？
大约 20 枚比特币（价值约 140 万美元）以及 30 万美元的其他资产被盗，其中 136 万美元被转移到外部，29.1 万美元仍留在攻击者控制的头寸中。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Maya Protocol 漏洞的原因是什么？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”此次攻击利用了一笔包含 23 条消息的交易中的六个相互关联的软件缺陷，对交易账户、出站交易处理以及流动性池计算进行了操纵。”}},{“@type”:”Question”,”name”:”Maya Protocol 如何应对这起 170 万美元的攻击事件？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Maya Protocol 启动了全球停机以阻止进一步损失，并开始着手修复恢复跨链兑换所需的功能。”}},{“@type”:”Question”,”name”:”这次攻击对 CACAO 代币价格造成了什么影响？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”CACAO 代币价格下跌了 88.7%，在事件期间从约 0.115 美元跌至 0.013 美元。”}},{“@type”:”Question”,”name”:”此次攻击中被盗的加密货币有多少？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”大约 20 枚比特币（价值约 140 万美元）以及 30 万美元的其他资产被盗，其中 136 万美元被转移到外部，29.1 万美元仍留在攻击者控制的头寸中。”}}]}
本文在人工智能协助下完成，由编辑团队审核。
