Maya Protocol, 1,7 Milyon Dolarlık Sömürüyle CACAO'yu Boşaltınca Faaliyetlerini Durdurdu

Kripto Haberleri

Maya Protocol, altı farklı hatayı birbirine bağlayan bir saldırganın protokolün likidite havuzlarından yaklaşık 1,7 milyon dolar çalmasının ardından operasyonlarını askıya aldı. Bu saldırı, platformun kendi altcoini CACAO'da yüzde 88'lik bir çöküşe yol açtı. Takma adlı kurucu ortak Aaluxx Myth kayıpları duyurdu. Takımın açıklamasına göre saldırgan, çaldığı CACAO'yu Bitcoin (BTC), Ethereum (ETH) ve diğer varlıklara dönüştürerek fonları tüm Maya likidite havuzlarına dağıttı. Bu istismar, Ağustos ayında yaşanan ve DeFi güvenliğini yeniden ön plana çıkaran bir dizi ihlalin en son halkası oldu. Saldırgan, 23 paketlenmiş talimat taşıyan tek bir işlemle harekete geçti; bu yapı, ağın hırsızlığın zaten gerçekleştiğine ikna olmasına neden oldu. Bu tür paketlenmiş talimatlar, birden fazla eylemi tek bir çağrıda birleştirerek doğrulama mantığını yanıltmaya yönelik karmaşık bir yöntem olarak biliniyor. Protokol daha sonra havuzu tamamlama girişiminde bulundu, ancak ödeme mantığının üst sınırı olmadığı için neredeyse boş olan bir havuza yaklaşık 49 milyon CACAO kredisi verildi. Bu kredi hiçbir zaman gerçek fonlarla desteklenmedi; rezerv sadece 168 bin CACAO içeriyordu. Bu yüzden transfer başarısız oldu ve şişirilmiş bakiye defterlerde kaldı. 100 CACAO yatırarak havuzun yüzde 99,93'üne sahip olan saldırgan, token'ın 100 milyonluk arzının neredeyse yarısı olan 48,87 milyon CACAO'yu çekti. Yüzde 88'lik çöküş, token'ın değerini birkaç blok içinde sildi ve muhasebe hatasının ne kadar hızlı bir şekilde piyasa genelinde satışa dönüştüğünü gösterdi. CACAO, 0,115 dolardan 0,013 dolara kadar geriledikten sonra toparlanarak yaklaşık 0,032 dolara ulaştı; böylece saldırı öncesi seviyesine göre yüzde 70'ten fazla değer kaybetti. Zincir üstü veriler, saldırganın 20,83 BTC (yaklaşık 1,34 milyon dolar) gönderdiğini ve bu işlemin yaklaşık 10 blok için tek bir Bitcoin adresine yapıldığını gösteriyor. Kurucu ortak Aaluxx Myth, Discord'da projenin küresel olarak durdurulduğunu açıkladı ve saldırgandan fonları iade etmesini istedi. Küresel durdurma, Maya'nın havuzlarındaki tüm faaliyetleri dondururken takım şu anda istismarı araştırıyor ve hasarı değerlendiriyor. Bu tür bir istismar, akıllı sözleşmelerdeki en küçük bir mantık hatasının bile büyük finansal kayıplara neden olabileceğini göstermektedir.

Maya olayı, DefiLlama verilerine göre yalnızca Ağustos ayında kaydedilen 16. kripto saldırısı olarak kayıtlara geçti. Bu verilere göre 2026 yılında toplam 219 olayın yaşandığı ve bu olayların 1,26 milyar dolarlık kayba yol açtığı görülüyor. Bu sayı, 2025'in tamamında kaydedilen 146 saldırıyı zaten aşmış durumda; ancak geçen yılın dolar kayıpları 2,71 milyar dolar ile daha yüksekti. İhlalin bir de soy bağı var: Maya, THORChain'den çatallanmıştı; THORChain, Mayıs ayında bir istismarda 10,7 milyon dolar kaybetmişti. Ağustos ayındaki tablo, DeFi alanındaki güvenlik açıklarının ne kadar kalıcı olduğunu gösteriyor; saldırganlar giderek takas protokollerini ve bunların parametre mantığını hedefliyor. Maya vakasında istismar, üst sınırı olmayan bir tazminat mekanizmasına dayanıyordu: sistem, neredeyse hiçbir şey tutmayan bir havuza yaklaşık 49 milyon CACAO kredisi verdi ve rezervde yalnızca 168 bin CACAO bulunduğu için bu kredi hiçbir zaman finanse edilmedi. Saldırgan, başarısız bir airdropı andıran bu hayali bakiyeyi, 100 CACAO'luk bir depozito ile sahiplenerek havuzun yüzde 99,93'üne sahip oldu ve toplam arzın neredeyse yarısı olan 48,87 milyon token'ı çekti. Bu durum, akıllı sözleşmelerdeki girdi doğrulama eksikliklerinin ne kadar büyük kayıplara yol açabileceğini ortaya koyuyor. Saldırganın takımın ödül teklifini kabul edip etmeyeceği, kaybın ne kadarının geri kazanılacağını belirleyecek. Aaluxx Myth ayrıca, satış sırasında havuz değerini emen arbitraj tüccarlarıyla iletişime geçeceklerini söyledi; bu da nihai kayıp rakamının fonlar geri çekildikçe değişebileceğini gösteriyor. THORChain'den çatallanmış bir protokol için bu bölüm, miras alınan kod tabanlarının bağımsız denetim incelemesi gerektirdiğini bir kez daha hatırlatıyor. Kamuya bildirilen olaylardan derlenen 2026 rakamları, saldırı sıklığının hızlandığını, ancak ortalama dolar etkisinin 2025'e kıyasla ılımlı olduğunu gösteriyor; saldırganlar odaklarını en büyük köprüler yerine daha geniş bir hedef yelpazesine yayıyor. Maya'nın THORChain'den çatallanması, aynı kod tabanını kullanan protokollerin benzer riskler taşıdığını hatırlatıyor.

İhlalin kök nedeni, takımın olay bildiriminde ortaya konduğu üzere, üst sınırı olmayan bir tazminat ödemesiydi: protokol, neredeyse boş bir havuza 49 milyon CACAO kredisi verdi ve finanse edilmeyen bakiye saldırgan tarafından sahiplenildi. Zincir üstü veriler ölçeği doğruluyor; 48,87 milyon CACAO çekildi ve 20,83 BTC tek bir adrese gönderildi. Bu, takımın açıkladığı yaklaşık 1,7 milyon dolarlık kayıpla uyumlu. İyileştirme, küresel bir durdurma ve bir ödül teklifinden oluşuyor; bu, saldırganın henüz açıklanmayan yanıtına bağlı. Yıl içinde 219 istismarı takip eden bir endüstri için bu olay, parametre doğrulama hatalarının özel anahtar ihlalleri kadar maliyetli olabileceğini ve altcoin'lerdeki tüm zamanların en yüksek seviyelerinin tek bir blokta yok olabileceğini hatırlatıyor. Ders, takas protokollerinden Aave gibi borç verme piyasalarına kadar DeFi'nin tümüne uygulanabilir. Saldırganın kullandığı yöntem, tazminat sistemlerinin sınırlandırılması gerektiğini açıkça ortaya koyuyor.