بروتوكول Maya يعلق عملياته بعد استغلال بقيمة 1.7 مليون دولار يستنزف CACAO

أخبار العملات الرقمية

علّق بروتوكول Maya عملياته بعد أن تمكن مهاجم من استغلال ست ثغرات متتالية لسرقة نحو 1.7 مليون دولار من مجمعات السيولة، مما أدى إلى انهيار عملته الأصلية العملة البديلة CACAO بنسبة 88%. كشف المؤسس المشارك الذي يستخدم الاسم المستعار Aaluxx Myth عن الخسائر. وفقًا للفريق، قام المهاجم بتحويل عملات CACAO المسروقة إلى بيتكوين (BTC) وإيثيريوم (ETH) وأصول أخرى، موزعًا الأموال عبر جميع مجمعات سيولة Maya. يُعد هذا الاستغلال الأحدث في سلسلة اختراقات أغسطس التي أعادت قضايا أمن التمويل اللامركزي (DeFi) إلى الواجهة. نُفذ الهجوم عبر معاملة واحدة تضمنت 23 تعليمة مجمعة، وهو هيكل أقنع الشبكة بأن السرقة قد حدثت بالفعل. ثم تحرك البروتوكول لتعويض المجمع، لكن نظرًا لعدم وجود حد أقصى لمنطق الدفع، تم إيداع ما يقارب 49 مليون CACAO في مجمع شبه فارغ. لم يكن هذا الرصيد مدعومًا بأموال حقيقية — إذ احتوى الاحتياطي على 168,000 CACAO فقط — لذلك فشل التحويل وبقي الرصيد المتضخم في الدفاتر. بعد إيداع 100 CACAO والاستيلاء على 99.93% من ملكية المجمع، سحب المهاجم 48.87 مليون CACAO، أي ما يقرب من نصف إجمالي المعروض البالغ 100 مليون. أدى الانهيار بنسبة 88% إلى محو قيمة العملة في غضون بضعة بلوكات، مما يبرز كيف تحول الخلل المحاسبي بسرعة إلى موجة بيع واسعة في السوق. انخفض سعر CACAO من 0.115 دولار إلى أدنى مستوى عند 0.013 دولار قبل أن يتعافى إلى نحو 0.032 دولار، تاركًا العملة منخفضة بأكثر من 70% عن مستواها قبل الاستغلال. تُظهر بيانات السلسلة أن المهاجم أرسل 20.83 BTC — بقيمة نحو 1.34 مليون دولار — إلى عنوان بيتكوين واحد خلال حوالي 10 بلوكات. أعلن المؤسس Aaluxx Myth عن تعليق شامل للمشروع على Discord وناشد المهاجم إعادة الأموال. التجميد الشامل، الذي أُعلن عبر Discord، يوقف النشاط في جميع مجمعات Maya بينما يحقق الفريق في الاستغلال ويقيّم الأضرار.

تمثل حادثة Maya الاختراق السادس عشر المسجل في أغسطس وحده، وفقًا لبيانات DefiLlama التي تضع إجمالي عام 2026 عند 219 حادثة بقيمة 1.26 مليار دولار. وهذا يتجاوز بالفعل عدد الحوادث لعام 2025 بأكمله، الذي سجل 146 اختراقًا، على الرغم من أن الخسائر بالدولار في العام الماضي كانت أعلى عند 2.71 مليار دولار. يحمل هذا الاختراق أيضًا زاوية نسبية: فقد انبثق Maya من THORChain، بروتوكول السيولة عبر السلاسل الذي خسر 10.7 مليون دولار بسبب استغلال في مايو. يُبرز إجمالي أغسطس مدى استمرار نقاط الضعف في DeFi، حيث يستهدف المهاجمون بشكل متزايد بروتوكولات التبادل ومنطق المعاملات الخاص بها. في حالة Maya، اعتمد الاستغلال على آلية تعويض بدون حد أقصى — حيث أضاف النظام ما يقارب 49 مليون CACAO إلى مجمع لا يحتوي تقريبًا على أي شيء، ولم يتم تمويل الرصيد أبدًا لأن الاحتياطي كان يحتفظ بـ 168,000 CACAO فقط. ثم استولى المهاجم على الرصيد الوهمي، وهو ائتمان غير ممول يشبه الإيردروب الفاشل، بإيداع 100 CACAO، مستحوذًا على 99.93% من ملكية المجمع وساحبًا 48.87 مليون توكن، أي ما يقرب من نصف إجمالي المعروض. ما إذا كان المهاجم سيقبل عرض المكافأة من الفريق سيحدد مقدار الخسارة التي سيتم استردادها. كما قال Aaluxx Myth إن المشروع سيتواصل مع متداولي المراجحة الذين امتصوا قيمة المجمع خلال موجة البيع، مما يعني أن رقم الخسارة النهائي قد يتغير مع استعادة الأموال. بالنسبة لبروتوكول انبثق من THORChain — الذي كان ضحية في مايو — تؤكد هذه الحلقة أن قواعد التعليمات البرمجية الموروثة تتطلب تدقيقًا أمنيًا مستقلاً. تُظهر أرقام عام 2026، المجمعة من الحوادث المبلغ عنها علنًا، أن تواتر الاختراقات تسارع حتى مع اعتدال متوسط الأثر بالدولار مقارنة بعام 2025، حيث يوزع المهاجمون تركيزهم على نطاق أوسع من الأهداف بدلاً من التركيز على أكبر الجسور.

السبب الجذري للاستغلال، كما ورد في إفصاح الفريق عن الحادث، هو تعويض بدون حد أقصى: أضاف البروتوكول 49 مليون CACAO إلى مجمع شبه فارغ، وتم الاستيلاء على الرصيد غير الممول من قبل المهاجم. تؤكد بيانات السلسلة النطاق — سحب 48.87 مليون CACAO وإرسال 20.83 BTC إلى عنوان واحد — بما يتوافق مع خسارة نحو 1.7 مليون دولار التي كشف عنها الفريق. الإجراء العلاجي، وهو تعليق شامل وعرض مكافأة، يعتمد على استجابة المهاجم التي لم تُكشف بعد. بالنسبة لصناعة تتابع بالفعل 219 اختراقًا هذا العام، فإن هذه الحلقة تذكير بأن عيوب التحقق من المعاملات قد تكون مكلفة مثل اختراق المفاتيح الخاصة — وأن أعلى سعر تاريخي للعملات البديلة يمكن أن يتبخر في بلوك واحد. ينطبق الدرس على جميع أنحاء DeFi، من بروتوكولات التبادل إلى أسواق الإقراض مثل Aave.