Что произошло
18 августа 2026 года около 17:30 UTC атакующий вывел из кросс-чейн-протокола MayaChain примерно $1,7 млн — около 20 BTC (порядка $1,4 млн по курсу того дня) и ещё около $300 тыс. в других активах. Сооткрыватель проекта Aalux остановил сеть глобально; свопы не работают до выхода патча.
Детали
Эксплойт собран из шести отдельных багов, связанных в одну транзакцию из 23 сообщений. Атакующий использовал пулы с тонкой ликвидностью, чтобы завысить расчётную стоимость активов: система «увидела» в пуле около 49,45 млн CACAO при реальных резервах примерно на $168 тыс. Дальше из модуля Asgard было выведено 48,87 млн CACAO и 98,82 LINK.
Дальнейший путь денег: около $1,36 млн ушло в другие блокчейны, ещё примерно $291 тыс. осталось в позициях под контролем атакующего. Аналитики PeckShield отследили 20 BTC до кошелька злоумышленника.
Токен CACAO рухнул на 88,7% — с $0,115 до $0,013, позже отскочив примерно к $0,032 (цены на 19 августа 2026 года).
Здесь важна деталь, которую теряют заголовки. Часть изданий пишет про «$11 млн»: это падение суммарной стоимости пулов MayaChain, около $10,9 млн. Но украдено из этой суммы примерно $1,7 млн — остальное дали арбитраж на перекошенных ценах и сам обвал CACAO. Разница между «слили пулы на $11 млн» и «унесли $1,7 млн» — это разные события, и путать их не стоит.
Что это значит
Прямые потери несут поставщики ликвидности MayaChain и держатели CACAO: первые сидят в пулах, стоимость которых просела почти на $10,9 млн, вторые получили минус 88,7% за сутки. Пользователи, у которых своп завис в момент остановки сети, ждут разблокировки — сроков команда не назвала.
Практический вывод шире одного протокола. Кросс-чейн-протоколы держат реальные BTC и ETH на своих модулях, а цену активов считают по собственным пулам. Когда в пуле лежит резервов на $168 тыс., любая ошибка в расчёте стоимости превращается в вывод настоящих монет с других цепочек. Отсюда простое правило для читателя: держать в подобных пулах сумму, потерю которой вы переживёте, и не считать «сеть работает уже год» доказательством безопасности.
Горизонт — ближайшие дни. Команда заявила, что готовит исправление и будет добиваться возврата средств через баг-баунти; это стандартное предложение атакующему оставить часть суммы в обмен на возврат остального. Пока сеть остановлена, вывести средства из пулов нельзя.
Контекст
MayaChain — форк THORChain: он даёт обмен активами между блокчейнами без обёрток и без централизованного хранителя, а CACAO работает в нём как расчётный и стейкинговый токен. По подсчётам отраслевых изданий, этот инцидент стал шестнадцатым публичным взломом в крипте за август 2026 года.
