仮想通貨CACAOが88.7%暴落、20.83BTC流出｜MAYAChain攻撃

クロスチェーンの流動性ネットワークMAYAChainが受けた攻撃で、外部チェーンへ持ち出された資産は約136万ドル、流動性プール全体への影響額は1100万ドル近くに達したと見積もられています。実際に外へ出た資産には約20.83BTCが含まれます。

Sad news 😕
Will work to fix and recover in full. We carry on. @Maya_Protocol pic.twitter.com/EYK9BeWWLI

— Aaluxx⚡️🍫🛡️ (@AaluxxMyth) August 18, 2026

会計処理の誤りが実体のない残高を生み、それが引き出し可能になったうえで、基軸トークンCACAOの急落が残る流動性の評価額を押し下げる連鎖が起きました。

独立系の研究者ヴィニ・バルボサ氏の分析によれば、攻撃の大半は23件のメッセージを含む1件のMsgDeposit取引に集約されます。最後のDONATEメッセージが既存の取引監視状態を上書きし、送金の照合に使う高さ情報が書き換えられました。その結果、正常な外部送金が「未着」と分類され、プールを補填する盗難検知ロジックが作動します。

この補填計算はプールの深さで上限が設けられておらず、準備金の残高が約16万8000CACAOしかないにもかかわらず、約4945万CACAO相当が記録されたとされています。

準備金が不足して送金自体は失敗したものの、書き換わったプールの状態はすでに確定していました。攻撃者はごく少額の流動性を追加するだけで、そのプールの持ち分の約99.93%を取得し、約4887万CACAOの引き出しに成功したとされます。CACAOの価格は0.115ドル前後から0.013ドルへと88.7%下落し、プール内に残るトークンの評価額も同時に目減りしました。持ち出された資産とプール全体で失われた価値は別の指標である点が、被害額の整理を難しくしています。

創設者のAaluxx氏は8月18日に「完全に回復させる」と述べましたが、8月20日の時点で公式チャネルからは修正版の適用やスワップ再開の時期、回収額、損失の最終的な配分、流動性提供者への補償条件のいずれも公表されていません。同社の資料では、取引を停止しつつブロック生成は継続できる仕組みが説明されています。

流動性提供者にとっては20.83BTCの補填だけでなく、プール残高の再構築と価格変動分を誰が負担するのかが焦点となりそうです。