Une exploitation du protocole Maya précipite le pool de liquidité de MAYAChain dans un effondrement de 10,9 millions de dollars

Maya Protocol, un protocole de liquidité cross-chain construit autour de MAYAChain, est venu rappeler une fois de plus que les failles de sécurité dans la DeFi ne restent que rarement confinées à un seul pool. Après qu’un défaut logiciel a contraint le réseau à suspendre les échanges, le pool de liquidité concerné a perdu environ 10,9 millions de dollars de valeur, tandis que l’attaquant détournait des actifs au moyen d’une série de manipulations qui ont mis en lumière la fragilité de l’infrastructure de market making automatisée lorsque la comptabilité se dérègle.

Pour les utilisateurs qui suivent de près le paysage plus large de la sécurité DeFi, cet incident est particulièrement important, car il ne s’agissait pas d’un simple siphonnage depuis un unique portefeuille chaud. C’était une défaillance à plusieurs niveaux impliquant la logique du protocole, la comptabilisation du pool, la tarification du marché et la pression arbitrage en aval.

Ce qui s’est passé sur MAYAChain

L’exploitation a pris pour cible une série de défauts logiciels qui ont permis à l’attaquant de faire reconnaître par le réseau un solde gonflé pour un pool de liquidité. En pratique, le pool a été trompé et amené à croire qu’il détenait environ 49 millions de tokens CACAO, alors que la réserve réelle n’était que d’environ 168 000 CACAO.

Ce décalage a ouvert la brèche dont l’attaquant avait besoin. En déposant des actifs relativement bon marché, l’exploiteur a pu obtenir plus de 99 % des parts du pool, puis retirer près de 48,87 millions de CACAO. Ces tokens ont ensuite été échangés contre des actifs dont du BTC et de l’ETH.

Les traces on-chain suggèrent que l’attaquant a déplacé environ 20,83 BTC, soit à l’époque une valeur d’environ 1,34 million de dollars, ainsi que d’autres actifs. Le gain réalisé direct a été estimé à environ 1,65 million de dollars, tandis qu’environ 8,87 millions de CACAO restaient encore dans le portefeuille de l’attaquant.

Pour les lecteurs qui souhaitent mieux comprendre le protocole dans son ensemble, le site officiel de Maya Protocol constitue un bon point de départ.

Pourquoi la perte affichée est plus élevée que les fonds volés

Le détail le plus important dans cet incident est que la « disparition » de 10,9 millions de dollars du pool ne correspond pas à un vol pur et simple.

Une grande partie de la baisse de valeur est venue de la dégradation du marché plutôt que d’un détournement direct. D’après l’analyse on-chain disponible :

• Environ 6,4 millions de dollars de la perte proviennent de l’effondrement brutal du prix du CACAO
• Environ 2,9 millions ont été causés par l’activité d’arbitrage qui a drainé de la valeur du pool
• Le reste est lié à l’exploitation elle-même et au déséquilibre qui en a résulté

Cette distinction est essentielle. Dans la DeFi, un protocole peut subir un choc comptable majeur même lorsque le profit réalisé par l’attaquant est bien inférieur à la perte apparente du pool. Dès qu’un pool devient mal pricé, les bots d’arbitrage repositionnent rapidement les capitaux, et le marché fait souvent le reste des dégâts.

Le prix du CACAO a immédiatement reflété cette tension. Il est passé d’environ 0,115 $ à un plus bas proche de 0,013 $, soit une chute de près de 89 %, avant de remonter vers environ 0,03 $.

Pourquoi les protocoles de liquidité cross-chain sont particulièrement exposés

Les systèmes de liquidité cross-chain se situent à l’intersection de plusieurs problèmes complexes : la comptabilité, le routage, la finalité, la tarification des actifs et la mécanique des parts de pool. Si l’une de ces couches se casse, le problème peut se propager à l’ensemble du système.

C’est l’une des raisons pour lesquelles les audits de protocole, la vérification formelle et la surveillance en temps réel sont si importants en 2025. À mesure que l’activité DeFi se déploie sur la liquidité native Bitcoin, les réseaux EVM et l’infrastructure omnichain, la surface d’attaque croît plus vite que de nombreuses équipes ne peuvent la renforcer.

Le problème ne concerne pas seulement le code des smart contracts. Il touche aussi les hypothèses sur la manière dont le réseau enregistre les soldes, valorise les actifs et règle les créances. Une fois ces hypothèses rompues, même un petit bug logique peut provoquer une perte disproportionnée.

Pour un contexte de sécurité plus large, l’aperçu blockchain du NIST est une référence utile pour comprendre pourquoi les systèmes distribués échangent souvent la simplicité contre la composabilité et le risque.

Comment l’équipe a réagi

Le fondateur de Maya Protocol a indiqué que l’équipe avait suspendu tous les échanges afin de contenir les dégâts, pendant que des réparations et des correctifs étaient préparés. L’équipe a également laissé entendre qu’elle tenterait de récupérer les fonds via un mécanisme de type bounty, en espérant que l’attaquant restitue volontairement les actifs.

Si la récupération n’aboutit pas, le protocole pourrait chercher à compenser environ 20 BTC de pertes à partir de produits d’investissement liés à des projets autour d’Aztec Chain.

Ce type de réponse est désormais courant lors des grands incidents DeFi : geler l’activité d’abord, corriger la logique vulnérable, puis déterminer si une récupération, une indemnisation ou un plan de remédiation financé par la trésorerie est possible. Le défi, bien sûr, est que chaque heure d’arrêt peut affaiblir la confiance et accélérer la fuite des capitaux.

Ce que les fournisseurs de liquidité et les traders devraient retenir

Les incidents de ce type récompensent généralement les utilisateurs qui considèrent leur exposition à la DeFi comme un risque à gérer, et non comme une simple source de rendement passif.

Quelques enseignements pratiques :

• Ne présumez pas qu’un gros pool est automatiquement sûr
• Vérifiez si un protocole dépend d’une comptabilité cross-chain complexe
• Surveillez les écarts brutaux de prix des tokens, pas seulement les exploits au niveau des contrats
• Séparez les fonds spéculatifs des avoirs de long terme
• Privilégiez la self-custody pour les actifs que vous n’avez pas besoin de garder dans des protocoles actifs

Pour le BTC, l’ETH et les autres avoirs de long terme, un portefeuille matériel peut réduire le risque qu’un incident côté protocole se transforme en perte personnelle. Un dispositif de self-custody comme OneKey est particulièrement utile pour les utilisateurs qui naviguent souvent entre plusieurs chaînes, car il isole les clés de signature des sessions basées sur le navigateur et aide à réduire l’exposition à des interfaces compromises ou à des approbations malveillantes.

Conclusion

L’incident de Maya Protocol rappelle une fois de plus que le risque DeFi est souvent un mélange de risque de code et de risque de structure de marché. L’attaquant n’avait pas besoin de voler toute la valeur visible du pool pour causer de sérieux dégâts ; une fois la couche comptable rompue, le reste du marché a rapidement amplifié la perte.

À mesure que la liquidité cross-chain continue de se développer, les utilisateurs devraient accorder autant d’attention à la garde des actifs et à la sécurité opérationnelle qu’au rendement annuel (APY). Dans des environnements volatils comme celui-ci, protéger ses clés privées et limiter son exposition aux soldes actifs sur les protocoles reste l’une des défenses les plus fiables.