Що сталося
18 серпня 2026 року близько 17:30 UTC зловмисник вивів із крос-чейн-протоколу MayaChain приблизно $1,7 млн — близько 20 BTC (порядку $1,4 млн за курсом того дня) і ще близько $300 тис. в інших активах. Співзасновник проєкту Aalux зупинив мережу глобально; свопи не працюють до виходу патча.
Деталі
Експлойт зібрано з шести окремих багів, звʼязаних в одну транзакцію з 23 повідомлень. Зловмисник скористався пулами з тонкою ліквідністю, щоб завищити розрахункову вартість активів: система «побачила» в пулі близько 49,45 млн CACAO за реальних резервів приблизно на $168 тис. Далі з модуля Asgard було виведено 48,87 млн CACAO і 98,82 LINK.
Подальший шлях грошей: близько $1,36 млн пішло в інші блокчейни, ще приблизно $291 тис. лишилося в позиціях під контролем зловмисника. Аналітики PeckShield відстежили 20 BTC до гаманця нападника.
Токен CACAO обвалився на 88,7% — з $0,115 до $0,013, згодом відскочивши приблизно до $0,032 (ціни на 19 серпня 2026 року).
Тут важлива деталь, яку гублять заголовки. Частина видань пише про «$11 млн»: це падіння сумарної вартості пулів MayaChain, близько $10,9 млн. Але вкрадено з цієї суми приблизно $1,7 млн — решту дали арбітраж на перекошених цінах і сам обвал CACAO. Різниця між «злили пули на $11 млн» і «винесли $1,7 млн» — це різні події, і плутати їх не варто.
Що це означає
Прямі втрати несуть постачальники ліквідності MayaChain і власники CACAO: перші сидять у пулах, вартість яких просіла майже на $10,9 млн, другі отримали мінус 88,7% за добу. Користувачі, у яких своп завис у момент зупинки мережі, чекають на розблокування — строків команда не назвала.
Практичний висновок ширший за один протокол. Крос-чейн-протоколи тримають справжні BTC та ETH на своїх модулях, а ціну активів рахують за власними пулами. Коли в пулі лежить резервів на $168 тис., будь-яка помилка в розрахунку вартості перетворюється на виведення справжніх монет з інших ланцюгів. Звідси просте правило для читача: тримати в подібних пулах суму, втрату якої ви переживете, і не вважати «мережа працює вже рік» доказом безпеки.
Горизонт — найближчі дні. Команда заявила, що готує виправлення і добиватиметься повернення коштів через баг-баунті; це стандартна пропозиція нападникові лишити частину суми в обмін на повернення решти. Поки мережу зупинено, вивести кошти з пулів не можна.
Контекст
MayaChain — форк THORChain: він дає обмін активами між блокчейнами без обгорток і без централізованого зберігача, а CACAO працює в ньому як розрахунковий і стейкінговий токен. За підрахунками галузевих видань, цей інцидент став шістнадцятим публічним зломом у крипті за серпень 2026 року.
