Um exploit cross-chain forçou o Maya Protocol a desligar toda a sua rede, depois que um invasor drenou cerca de US$ 1,7 milhão em Bitcoin e outros ativos digitais ao encadear seis falhas de software distintas. O exploit do Maya Protocol desencadeou uma paralisação global na quarta-feira e fez o token nativo do projeto, CACAO, entrar em um colapso acentuado e quase instantâneo, levantando novas questões sobre quão segura a infraestrutura cross-chain realmente é.
Summary
Pontos principais
- O Maya Protocol interrompeu sua rede cross-chain depois que um invasor roubou cerca de US$ 1,7 milhão em criptoativos.
- O invasor encadeou seis falhas de software distintas em uma única transação contendo 23 mensagens.
- Cerca de US$ 1,36 milhão foram movidos para blockchains externas, enquanto aproximadamente US$ 291.000 permaneceram em posições controladas pelo invasor no MAYAChain.
- O invasor levou cerca de 20 Bitcoin, no valor de aproximadamente US$ 1,4 milhão, além de outros US$ 300.000 em outros ativos.
- O preço do CACAO despencou 88,7%, caindo de cerca de US$ 0,115 para US$ 0,013 durante o incidente.
Como o exploit do Maya Protocol se desenrolou
O ataque não foi resultado de um único bug, mas de uma combinação cuidadosamente sequenciada de fragilidades nas camadas de transação e contabilidade do protocolo. O cofundador pseudônimo do Maya Protocol, conhecido como Aalux, confirmou na quarta-feira que o invasor fugiu com cerca de 20 Bitcoin, no valor aproximado de US$ 1,4 milhão, juntamente com outros US$ 300.000 em outros ativos, antes de a equipe ativar uma paralisação em toda a rede para impedir perdas adicionais.
Uma análise técnica preliminar compartilhada por Aalux rastreou a violação até uma cadeia de seis falhas interligadas envolvendo contas de negociação, processamento de transações de saída e cálculos de pools de liquidez. Em vez de explorar um único ponto fraco, o invasor costurou essas vulnerabilidades em uma única transação contendo 23 mensagens, permitindo que várias partes do sistema do MAYAChain fossem manipuladas quase simultaneamente.
Manipulando um pool de liquidez raso
De acordo com as conclusões, o invasor primeiro enganou o próprio mecanismo de detecção de roubo do protocolo para que respondesse de forma incorreta. Com essa salvaguarda neutralizada, ele então inflou o valor de um pool com liquidez limitada, usando essa distorção para sacar 48,87 milhões de tokens CACAO do módulo Asgard do Maya — o sistema de cofres que guarda os ativos usados para liquidar swaps cross-chain.
Como o Maya Protocol permite que usuários troquem ativos nativos entre diferentes blockchains sem passar por uma corretora centralizada, seus sistemas de cofres e de contabilidade de liquidez ficam no centro de cada transação. Essa centralidade é exatamente o que tornou o exploit tão danoso: uma falha na lógica de contabilidade não afetou apenas um par de negociação, mas se espalhou por todo o processo de liquidação.
Quantificando os danos e o crash do token CACAO
O pesquisador independente de segurança em blockchain Vini Barbosa, que revisou os dados preliminares, disse que o CACAO despencou 88,7% durante o incidente, caindo de cerca de US$ 0,115 para apenas US$ 0,013. Esse tipo de queda complica qualquer cálculo limpo das perdas, já que o exploit atingiu tanto fundos roubados diretamente quanto o valor de mercado da liquidez ainda presente nos pools do Maya.
A análise técnica estimou que o valor total dos pools caiu em cerca de US$ 10,9 milhões, mas os pesquisadores tomaram cuidado para não rotular todo esse montante como fundos roubados — uma parte significativa refletiu negociações de arbitragem e a própria desvalorização do CACAO, em vez de ativos que o invasor de fato embolsou. A divisão mais precisa mostrou que cerca de US$ 1,36 milhão foram movidos para blockchains externas, enquanto aproximadamente US$ 291.000 permaneceram estacionados em posições de CACAO e contas de negociação controladas pelo invasor no próprio MAYAChain.
Essa diferença entre a exposição de manchete e o valor realmente extraído é importante para quem tenta avaliar a gravidade real de um hack de rede cross-chain. É um padrão que tem se repetido este ano, em que o número inicialmente reportado como “em risco” acaba sendo muito maior do que aquilo com que os invasores efetivamente saem.
Não é um incidente isolado no DeFi cross-chain
O desligamento do Maya se encaixa em uma tendência mais ampla e desconfortável entre protocolos de interoperabilidade em 2026. Em junho, a Axelar desativou rotas de bridge conectadas à Secret Network depois que cerca de US$ 4,7 milhões em ativos bridged foram levados por meio de uma falha ligada a um contrato inteligente do lado da Secret, mesmo enquanto a Axelar insistia que sua infraestrutura central permanecera intocada.
O Echo Protocol oferece outra comparação instrutiva. Em maio, um invasor cunhou cerca de US$ 76,7 milhões em eBTC não autorizados na Monad, mas pesquisadores de segurança posteriormente concluíram que o valor realmente roubado foi mais próximo de US$ 816.000 — uma diferença enorme entre a cunhagem de manchete e o dano econômico real, semelhante em espírito ao que agora está sendo destrinchado no Maya. Esse incidente foi ligado a uma chave privada administrativa comprometida, e o cofundador da Monad, Keone Hon, observou que a rede subjacente continuou operando normalmente durante todo o período.
A experiência da THORChain é talvez o paralelo mais próximo. O investigador de blockchain ZachXBT apontou perdas de pelo menos US$ 10 milhões em maio, e o protocolo posteriormente confirmou que aproximadamente US$ 10,7 milhões haviam sido drenados de um de seus cinco cofres depois que um operador de nó recém-rotacionado explorou uma falha em seu esquema de Assinatura por Limite GG20 para reconstruir uma chave privada. Verificações automáticas de solvência interromperam a assinatura cross-chain em poucos minutos. Os operadores de nó da THORChain então aprovaram um plano de recuperação usando liquidez de propriedade do protocolo — sem cunhar novo RUNE, vender RUNE ou diluir os detentores — e a rede retomou as negociações após mais de um mês offline, em 23 de junho.
A Transit Finance também sofreu um ataque de menor escala, perdendo cerca de US$ 1,88 milhão em maio em um exploit apontado pela empresa de segurança PeckShield, embora ainda não tenha publicado um relatório técnico detalhado pós-morte.
Por que protocolos cross-chain continuam sendo atingidos
Cada um desses casos aponta para a mesma vulnerabilidade subjacente: sistemas cross-chain, por design, exigem que várias partes móveis — validadores, pools de liquidez, módulos de cofres, esquemas de assinatura — conversem entre si através de blockchains distintas. Essa complexidade multiplica a superfície de ataque. Uma análise da crypto.news de julho sobre bridges cross-chain observou que tais sistemas podem se basear em modelos de lock-and-mint, burn-and-mint ou em liquidez, com a verificação dependendo de validadores, configurações de multisig ou provas criptográficas. Cada camada adicional é um ponto potencial de falha, e o exploit do Maya mostra como seis falhas modestas podem ser combinadas em uma sequência danosa quando nenhum único controle captura o padrão completo.
Para usuários e provedores de liquidez, isso importa porque uma violação de segurança em blockchain desse tipo não custa apenas ao protocolo — ela corrói a confiança em todo o modelo de swaps cross-chain, justamente em um momento em que a interoperabilidade é frequentemente apresentada como o próximo grande desbloqueio do DeFi.
O que vem a seguir para o Maya Protocol
O Maya Protocol não forneceu um cronograma para a restauração completa dos swaps. Aalux disse que a paralisação global conteve danos adicionais e que os engenheiros estavam trabalhando nas correções necessárias para trazer as negociações cross-chain de volta ao ar, com foco específico no comportamento das contas de negociação, no tratamento de transações de saída e nos cálculos de liquidez que permitiram que a transação de 23 mensagens tivesse sucesso.
Se o Maya conseguirá reconstruir a confiança rapidamente pode depender de quão transparentemente documentará a correção — e se o mais amplo crash do token CACAO se mostrará um choque temporário ou uma marca duradoura na base de liquidez do protocolo quando as negociações forem retomadas.
Perguntas frequentes
Qual foi a causa do exploit do Maya Protocol?
O ataque envolveu a exploração de seis falhas de software interligadas dentro de uma única transação contendo 23 mensagens, manipulando contas de negociação, processamento de transações de saída e cálculos de pools de liquidez.
Como o Maya Protocol respondeu ao exploit de US$ 1,7 milhão?
O Maya Protocol ativou uma paralisação global para impedir novas perdas e começou a trabalhar nas correções necessárias para restaurar os swaps cross-chain.
Qual foi o impacto do exploit no preço do token CACAO?
O preço do token CACAO caiu 88,7%, passando de cerca de US$ 0,115 para US$ 0,013 durante o incidente.
Quanta criptomoeda foi roubada no ataque?
Aproximadamente 20 Bitcoin, no valor de cerca de US$ 1,4 milhão, e US$ 300.000 em outros ativos foram roubados, com US$ 1,36 milhão movidos externamente e US$ 291.000 permanecendo em posições controladas pelo invasor.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Qual foi a causa do exploit do Maya Protocol?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O ataque envolveu a exploração de seis falhas de software interligadas dentro de uma única transação contendo 23 mensagens, manipulando contas de negociação, processamento de transações de saída e cálculos de pools de liquidez.”}},{“@type”:”Question”,”name”:”Como o Maya Protocol respondeu ao exploit de US$ 1,7 milhão?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O Maya Protocol ativou uma paralisação global para impedir novas perdas e começou a trabalhar nas correções necessárias para restaurar os swaps cross-chain.”}},{“@type”:”Question”,”name”:”Qual foi o impacto do exploit no preço do token CACAO?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O preço do token CACAO caiu 88,7%, passando de cerca de US$ 0,115 para US$ 0,013 durante o incidente.”}},{“@type”:”Question”,”name”:”Quanta criptomoeda foi roubada no ataque?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Aproximadamente 20 Bitcoin, no valor de cerca de US$ 1,4 milhão, e US$ 300.000 em outros ativos foram roubados, com US$ 1,36 milhão movidos externamente e US$ 291.000 permanecendo em posições controladas pelo invasor.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
