Нападение на Maya Protocol: хакер использовал шесть уязвимостей — убытки в миллионы долларов из-за межсетевых сделок

Какая чёрная поездка для протокола Maya Protocol. Анонимный злоумышленник получил доступ к одной из самых перспективных межсетевых платформ и напомнил всем нам, насколько уязвимыми могут быть даже самые инновационные блокчейн-проекты — несмотря на изощрённую и тщательно спланированную атаку. Когда на счетах оказалось почти 50 миллионов несуществующих токенов, стало ясно: речь идёт не просто о технической ошибке — речь идёт о доверии. А в DeFi его теряют так же быстро, как биткоин в медвежьем рынке.
Как проходила атака: фальшивые токены как рычаг
Компания по кибербезопасности PeckShield опубликовала анализ инцидента, который больше похож на детективный роман — только без счастливого конца. Всё началось с уязвимости в механизме межсетевого моста THORChain протокола Maya. В отличие от банального взлома нескольких строк кода, хакер долгое время «обманывал» систему, пока та не начала выдавать ему реальные активы — используя при этом токены, которые на самом деле не должны были существовать.
Представьте: вы приходите в банк, предъявляете поддельный чек, а вместо того, чтобы поднять тревогу, кассир выдаёт вам наличные, потому что уверен, что чек настоящий. Звучит абсурдно? В DeFi-пространстве именно это и произошло. Злоумышленник сумел убедить блокчейн в том, что его поддельные токены MAYA обеспечены реальным капиталом. С их помощью хакер вывел реальные активы: более 1500 биткоинов, 8000 эфиров и целый ряд других токенов. И всё это за несколько часов.
Шесть уязвимостей в одной системе — и никто ничего не заметил
Форензическое расследование выявило шесть критических лазеек — настолько фундаментальных, что возникает вопрос: как это вообще могло произойти? Вот краткий обзор причин, по которым система дала сбой:
1. Неверные расчёты ликвидности — Maya не проверяла, действительно ли депонированные токены находятся в системе. Типичный случай «закрываем глаза и надеемся на лучшее».
2. Манипуляция мостом — мост между Maya и другими блокчейнами был обманут. Хакер выдал фальшивые токены за настоящие, и система это проглотила.
3. Неконтролируемый выпуск токенов — токены выпускались без проверки, было ли это разрешено.
4. Валидаторы на автопилоте — валидаторы подтверждали транзакции, не проверяя при этом лежащую в их основе ликвидность. Сродни ТÜV, который выдаёт техосмотр, не тестируя тормоза.
5. Неточная бухгалтерия — баланс протокола был искажён: поддельные токены учитыв



ались как реальные.
6. Отсутствие плана экстренных мер — не существовало механизмов, позволяющих быстро остановить отток активов. Словно пожарный шланг покупают только после того, как пожар уже начался.
Команда Maya подтвердила обвинения и заявила о «глубоких и сложных» пробелах в безопасности. В официальном заявлении они принесли извинения пользователям — что, конечно, хорошо, но приходит уже после того, как ущерб нанесён.
Последствия: потеря доверия и обвал курса
Рынки отреагировали моментально. Токен MAYA упал более чем на 40 % за 24 часа, а тесно связанный с ним токен THORChain (RUNE) тоже потерял в цене. Инвесторы в панике продавали активы, а некоторые поставщики ликвидности вывели средства. Рыночная капитализация Maya сократилась более чем на 60 миллионов долларов — болезненный удар для проекта, который позиционировал себя как многообещающую альтернативу таким платформам, как Polygon Bridge или THORChain.
Однако речь идёт не только о деньгах. Этот инцидент ставит фундаментальные вопросы: насколько безопасны межсетевые протоколы на самом деле? Maya позиционировал себя как инновационный и заслуживающий доверия проект — и вот теперь он находится под сильным давлением. Пользователи хотят знать не только, что именно пошло не так, но и как команде удастся вернуть доверие.
Что будет дальше: починка и дебаты о регулировании
Команда Maya объявила, что в ближайшие дни опубликует детальный отчёт о расследовании инцидента. Также планируется провести независимый аудит безопасности. Параллельно ведётся внутреннее расследование, чтобы выяснить, не были ли причастны к атаке члены команды или внешние консультанты.
Эксперты, такие как Сергей Горбунов из CertiK, предупреждают, что такие атаки не останутся единичным случаем. «Межсетевые проекты особенно привлекательны для хакеров, так как позволяют атаковать сразу несколько блокчейнов. Здесь срочно необходимы более строгие стандарты безопасности».
Пока DeFi-индустрия ломает голову, как предотвратить подобные инциденты в будущем, разгораются дебаты о регулировании. На сегодняшний день практически нет чётких правил в отношении безопасности смарт-контрактов или межсетевых мостов. Европейский Союз работает над положениями MiCA, которые также охватят криптовалютные платформы, — но до их вступления в силу может пройти ещё много времени.
Вывод: тревожный звонок для индустрии DeFi
Взлом протокола Maya — ещё одно доказательство