Maya-Protocol-Exploit stürzt MAYAChain-Liquiditätspool in einen Kollaps von 10,9 Millionen Dollar

Maya Protocol, ein auf MAYAChain aufgebautes Cross-Chain-Liquiditätsprotokoll, ist die jüngste Erinnerung daran, dass Sicherheitsvorfälle im DeFi-Bereich selten auf einen einzelnen Pool beschränkt bleiben. Nachdem eine Software-Schwachstelle die Netzwerkbetreiber dazu zwang, den Handel auszusetzen, verlor der betroffene Liquiditätspool rund 10,9 Millionen Dollar an Wert. Der Angreifer zog währenddessen über eine Reihe von Manipulationen Vermögenswerte ab und machte damit deutlich, wie fragil automatisierte Marktinfrastrukturen werden können, wenn die Buchführung aus dem Ruder läuft.

Für Nutzer, die die breitere DeFi-Sicherheitslage verfolgen, ist dieser Vorfall besonders relevant, weil es sich nicht um ein einfaches Leerräumen eines einzelnen Hot Wallets handelte. Es war ein mehrschichtiger Ausfall, der Protokoll-Logik, Pool-Buchhaltung, Marktpreise und nachgelagerten Arbitrage-Druck zugleich betraf.

Was auf MAYAChain passiert ist

Der Exploit drehte sich um eine Reihe von Softwarefehlern, durch die der Angreifer das Netzwerk dazu bringen konnte, für einen Liquiditätspool einen aufgeblähten Kontostand anzuerkennen. Praktisch bedeutete das: Der Pool wurde getäuscht und glaubte, er halte etwa 49 Millionen CACAO-Token, obwohl die tatsächliche Reserve nur bei rund 168.000 CACAO lag.

Diese Diskrepanz schuf die Lücke, die der Angreifer brauchte. Indem er vergleichsweise billige Vermögenswerte einzahlte, konnte er mehr als 99 % der Pool-Anteile erhalten und anschließend fast 48,87 Millionen CACAO abziehen. Diese Token wurden später in Vermögenswerte wie BTC und ETH getauscht.

On-Chain-Spuren deuten darauf hin, dass der Angreifer etwa 20,83 BTC verschoben hat, was zum damaligen Zeitpunkt rund 1,34 Millionen Dollar entsprach, zusammen mit weiteren Assets. Der direkt realisierte Gewinn wurde auf etwa 1,65 Millionen Dollar geschätzt, während sich noch rund 8,87 Millionen CACAO in der Wallet des Angreifers befanden.

Für Leser, die sich einen breiteren Überblick über das Protokoll verschaffen möchten, ist die offizielle Maya Protocol-Website ein guter Ausgangspunkt.

Warum der Verlust in der Schlagzeile größer ist als der gestohlene Betrag

Das wichtigste Detail bei diesem Vorfall ist, dass die oft genannte Zahl von 10,9 Millionen Dollar „Pool-Verdunstung“ nicht mit reinem Diebstahl gleichzusetzen ist.

Ein großer Teil des Wertverlusts entstand durch Marktschäden und nicht durch direkte Entnahme. Den verfügbaren On-Chain-Analysen zufolge:

• Etwa 6,4 Millionen Dollar des Verlusts gingen auf den drastischen Kurssturz von CACAO zurück
• Rund 2,9 Millionen Dollar wurden durch Arbitrage-Aktivitäten verursacht, die dem Pool Wert entzogen
• Der Rest hing mit dem Exploit selbst und dem dadurch entstandenen Ungleichgewicht zusammen

Diese Unterscheidung ist wichtig. In DeFi kann ein Protokoll einen massiven Bilanzschock erleiden, obwohl der realisierte Gewinn des Angreifers deutlich kleiner ist als der scheinbare Poolverlust. Sobald ein Pool falsch bepreist wird, repositionieren Arbitrage-Bots das Kapital sehr schnell, und der Markt erledigt oft den Rest des Schadens.

Der CACAO-Kurs spiegelte diesen Stress sofort wider. Er fiel von etwa 0,115 Dollar auf ein Tief von rund 0,013 Dollar, also um fast 89 %, bevor er sich wieder auf ungefähr 0,03 Dollar erholte.

Warum Cross-Chain-Liquiditätsprotokolle besonders anfällig sind

Cross-Chain-Liquiditätssysteme sitzen an der Schnittstelle mehrerer schwieriger Probleme: Buchhaltung, Routing, Finalität, Asset-Bepreisung und Pool-Anteilsrechnung. Wenn nur eine dieser Ebenen versagt, kann sich der Fehler auf das gesamte System ausbreiten.

Das ist einer der Gründe, warum Protokoll-Audits, formale Verifikation und Laufzeitüberwachung im Jahr 2025 so wichtig sind. Während DeFi-Aktivitäten sich über Bitcoin-native Liquidität, EVM-Netzwerke und Omnichain-Infrastrukturen ausbreiten, wächst die Angriffsfläche schneller, als viele Teams sie absichern können.

Das Problem betrifft nicht nur Smart-Contract-Code. Es geht auch um die Annahmen darüber, wie das Netzwerk Guthaben verbucht, Assets bewertet und Forderungen begleicht. Sobald diese Annahmen nicht mehr stimmen, kann schon ein kleiner logischer Fehler einen unverhältnismäßig großen Verlust auslösen.

Für einen breiteren Sicherheitskontext ist die NIST-Übersicht zu Blockchain eine nützliche Referenz dazu, warum verteilte Systeme oft Einfachheit gegen Komposierbarkeit und Risiko eintauschen.

Wie das Team reagiert hat

Der Gründer von Maya Protocol sagte, das Team habe den gesamten Handel pausiert, um den Schaden einzudämmen, während Reparaturen und Fixes vorbereitet wurden. Außerdem signalisierte das Team, dass es versuchen werde, Gelder über eine Art Bounty-Vereinbarung zurückzuerlangen, in der Hoffnung, dass der Angreifer die Vermögenswerte freiwillig zurückgibt.

Falls es nicht zu einer Rückgabe kommt, könnte das Protokoll versuchen, etwa 20 BTC an Verlusten über Investitionserlöse aus mit Aztec-Chain verbundenen Plänen auszugleichen.

Diese Reaktion ist bei großen DeFi-Vorfällen inzwischen typisch: zuerst die Aktivität einfrieren, dann die verwundbare Logik patchen und anschließend entscheiden, ob Rückgewinnung, Entschädigung oder eine durch die Treasury gestützte Schadensbegrenzung möglich ist. Die Herausforderung ist natürlich, dass jede Stunde Ausfallzeit das Vertrauen weiter schwächen und Kapitalabflüsse beschleunigen kann.

Was Liquiditätsanbieter und Trader daraus lernen sollten

Vorfälle wie dieser belohnen in der Regel Nutzer, die DeFi-Exponierung als kontrollierbares Risiko betrachten – und nicht als passive Renditequelle.

Einige praktische Lehren:

• Gehen Sie nicht davon aus, dass ein großer Pool automatisch sicher ist
• Prüfen Sie, ob ein Protokoll auf komplexe Cross-Chain-Buchhaltung angewiesen ist
• Achten Sie auf abrupte Token-Preisverwerfungen, nicht nur auf Contract-Exploits
• Trennen Sie spekulative Mittel von langfristigen Beständen
• Bevorzugen Sie Self-Custody für Assets, die Sie nicht aktiv in Protokollen halten müssen

Für BTC, ETH und andere langfristige Bestände kann ein Hardware-Wallet das Risiko senken, dass ein Vorfall auf Protokollebene zu einem persönlichen Verlust wird. Ein Self-Custody-Gerät wie OneKey ist besonders nützlich für Nutzer, die häufig zwischen Chains wechseln, weil es Signierschlüssel von browserbasierten Sitzungen isoliert und dabei hilft, die Angriffsfläche durch kompromittierte Oberflächen oder bösartige Freigaben zu reduzieren.

Abschließende Gedanken

Der Vorfall um Maya Protocol erinnert erneut daran, dass DeFi-Risiken oft aus einer Kombination von Code-Risiko und Markstrukturrisiko bestehen. Der Angreifer musste nicht den gesamten sichtbaren Poolwert stehlen, um erheblichen Schaden anzurichten; sobald die Buchhaltungsschicht versagte, verstärkte der Rest des Marktes den Verlust schnell.

Da sich Cross-Chain-Liquidität weiter ausdehnt, sollten Nutzer der Verwahrung und der operativen Sicherheit mindestens genauso viel Aufmerksamkeit schenken wie dem APY. In solch volatilen Umgebungen bleiben die Absicherung privater Schlüssel und die Begrenzung der Exponierung gegenüber aktiven Protokollsalden eine der zuverlässigsten Verteidigungsmaßnahmen.