MAYAChain pausiert Handel nach Angriff auf Liquiditätspool

Maya Protocol hat sein Cross-Chain-Netzwerk MAYAChain gestoppt, nachdem ein Angreifer über eine manipulierte Liquiditätspool-Bilanz rund 20 Bitcoin im Wert von etwa 1,4 Millionen US-Dollar sowie weitere Assets im Wert von 300.000 US-Dollar entwendet hat. Der Rückgang des Werts in den betroffenen Liquiditätspools belief sich nach ersten Angaben auf rund 11 Millionen US-Dollar.

MAYAChain ist eine dezentrale Handelsplattform innerhalb des Maya-Ökosystems. Nutzer können dort Krypto-Assets wie Bitcoin und Ethereum ohne eine zentrale Börse tauschen; der Token CACAO dient dabei als Anker für die Märkte.

Sechs Softwarefehler ermöglichten den Angriff

Der pseudonyme Maya-Protocol-Mitgründer Aalux berichtete am 18. August 2026 auf X von Verlusten von rund 20 BTC und weiteren Assets im Wert von 300.000 US-Dollar. Anschließend aktivierte das Team einen globalen Halt, um weitere Schäden zu begrenzen, wie Gadgets360 berichtet.

Laut der vorläufigen technischen Analyse kombinierte der Angreifer sechs miteinander verkettete Softwarefehler in einer einzigen Transaktion mit 23 Nachrichten. Zunächst wurde die Diebstahlerkennung des Protokolls fehlerhaft ausgelöst. Ein Ausgleichsmechanismus blähte dadurch eine Pool-Bilanz um rund 49 Millionen CACAO auf, obwohl sich in der Reserve von MAYAChain lediglich 168.000 CACAO befanden.

Die Ausgleichstransaktion wurde nicht ausgeführt. Ein separater Fehler führte jedoch dazu, dass die falsche Bilanz dennoch in den Netzwerkaufzeichnungen gespeichert blieb. Der Angreifer zahlte anschließend einen kleinen Betrag in den manipulierten Pool ein, übernahm damit mehr als 99 Prozent der Poolanteile und zog rund 48,87 Millionen CACAO ab. Diese Token wurden über MAYAChain-Pools in Bitcoin und Ether getauscht.

CACAO verliert während des Angriffs deutlich an Wert

Der Kurs des protokolleigenen Tokens CACAO fiel während des Vorfalls von rund 0,115 auf 0,013 US-Dollar. Das entspricht einem Rückgang von etwa 88,7 Prozent, wie crypto.news unter Berufung auf die vorläufigen Untersuchungsergebnisse berichtet.

Der Kursrückgang erschwerte die Einordnung des wirtschaftlichen Schadens. Der Wertverlust in den Liquiditätspools erreichte laut technischer Analyse rund 10,9 Millionen US-Dollar. Dieser Betrag wurde jedoch nicht vollständig als gestohlene Summe eingeordnet, da er auch Arbitrage-Aktivitäten und die starke Abwertung von CACAO berücksichtigt. Rund 1,36 Millionen US-Dollar wurden demnach auf externe Blockchains transferiert; weitere etwa 291.000 US-Dollar verblieben in CACAO-Beständen und Handelspositionen unter Kontrolle des Angreifers.

Handel bleibt bis zu weiteren Arbeiten ausgesetzt

Maya Protocol stoppte den Handel, während das Team die betroffenen Komponenten untersucht und an einer Lösung arbeitet. Die vorläufige Analyse verweist auf das Zusammenspiel von Handelskonten, der Verarbeitung ausgehender Transaktionen und Liquiditätspool-Berechnungen.

Der Vorfall zeigt, dass bei MAYAChain mehrere Komponenten in einer Abfolge ausgenutzt wurden: Die Transaktion mit 23 Nachrichten löste eine falsche Diebstahlreaktion aus, manipulierte einen Pool mit geringer Liquidität und ermöglichte anschließend die Entnahme von CACAO aus dem Asgard-Modul. Diese Module halten Assets, die das Protokoll für Cross-Chain-Swaps verwendet.

Rückzahlung über Bug Bounty oder eigene Mittel geplant

Maya Protocol strebt zunächst an, die verlorenen Mittel über eine Bug-Bounty-Vereinbarung mit dem Angreifer zurückzuerhalten. Falls dies nicht gelingt, will das Team die fehlenden rund 20 Bitcoin nach eigenen Angaben unter anderem durch Investments in die Aztec Chain und weitere Mittel ersetzen.

Das Beheben der Sicherheitslücke allein wird die Pools nach Angaben des Protokolls nicht in ihren vorherigen Zustand zurückversetzen. Ein großer Teil der durch die Schwachstelle erzeugten CACAO befindet sich inzwischen in verschiedenen MAYAChain-Märkten und ist dort mit anderen Token vermischt.

Einen Zeitplan für die vollständige Wiederaufnahme von Swaps hat Maya Protocol in den vorliegenden Informationen nicht genannt. Der globale Halt bleibt bestehen, während an den nötigen Korrekturen gearbeitet wird.

Zuletzt aktualisiert am 20. August 2026