Exploit no Maya Protocol leva o pool de liquidez da MAYAChain a uma queda de US$ 10,9 milhões

O Maya Protocol, um protocolo de liquidez cross-chain construído em torno da MAYAChain, virou o mais recente lembrete de que falhas de segurança em DeFi raramente ficam restritas a um único pool. Depois que uma falha de software em cadeia obrigou a rede a suspender as negociações, o pool de liquidez afetado perdeu cerca de US$ 10,9 milhões em valor, enquanto o atacante extraiu ativos por meio de uma sequência de manipulações que expôs o quão frágil pode ser a infraestrutura de market making automatizada quando a contabilidade sai do controle.

Para quem acompanha o cenário mais amplo de segurança em DeFi, este incidente é especialmente relevante porque não se tratou de um simples esvaziamento de uma única hot wallet. Foi uma falha em múltiplas camadas, envolvendo lógica do protocolo, contabilidade do pool, precificação de mercado e pressão de arbitragem subsequente.

O que aconteceu na MAYAChain

O exploit se concentrou em uma série de defeitos de software que permitiram ao atacante fazer a rede reconhecer um saldo inflado para um pool de liquidez. Na prática, o pool foi induzido a acreditar que detinha cerca de 49 milhões de tokens CACAO, embora a reserva real fosse de apenas aproximadamente 168 mil CACAO.

Essa divergência abriu a brecha de que o atacante precisava. Ao depositar ativos relativamente baratos, o explorador conseguiu obter mais de 99% da participação do pool e, em seguida, sacar quase 48,87 milhões de CACAO. Mais tarde, esses tokens foram trocados por ativos como BTC e ETH.

Rastros on-chain sugerem que o atacante moveu cerca de 20,83 BTC, no valor aproximado de US$ 1,34 milhão na época, além de outros ativos. O ganho direto realizado foi estimado em cerca de US$ 1,65 milhão, enquanto aproximadamente 8,87 milhões de CACAO ainda permaneciam na carteira do atacante.

Para leitores que queiram entender melhor o protocolo, o site oficial do Maya Protocol é um bom ponto de partida.

Por que a perda no título é maior que o valor roubado

O detalhe mais importante neste incidente é que a cifra de US$ 10,9 milhões de “evaporação do pool” não equivale a roubo puro e simples.

Uma grande parte da queda de valor veio do dano de mercado, e não da extração direta. De acordo com a análise on-chain disponível:

• Cerca de US$ 6,4 milhões da perda vieram da forte desvalorização do CACAO
• Aproximadamente US$ 2,9 milhões foram causados pela atividade de arbitragem, que drenou valor do pool
• O restante esteve ligado ao exploit em si e ao desequilíbrio resultante

Essa distinção importa. Em DeFi, um protocolo pode sofrer um choque severo no balanço mesmo quando o lucro realizado pelo atacante é bem menor que a perda aparente do pool. Assim que um pool fica mal precificado, bots de arbitragem reposicionam capital rapidamente, e o mercado muitas vezes completa o estrago.

O preço do CACAO refletiu esse estresse imediatamente. Ele caiu de cerca de US$ 0,115 para uma mínima próxima de US$ 0,013, uma queda de quase 89%, antes de se recuperar para algo em torno de US$ 0,03.

Por que protocolos de liquidez cross-chain são especialmente expostos

Sistemas de liquidez cross-chain ficam na interseção de vários problemas complexos: contabilidade, roteamento, finalização, precificação de ativos e matemática das cotas do pool. Se qualquer uma dessas camadas falhar, o resultado pode se propagar por todo o sistema.

Essa é uma das razões pelas quais auditorias de protocolo, verificação formal e monitoramento em tempo de execução são tão importantes em 2025. À medida que a atividade de DeFi se expande entre liquidez nativa do Bitcoin, redes EVM e infraestrutura omnichain, a superfície de ataque cresce mais rápido do que muitas equipes conseguem endurecer.

O problema não está apenas no código dos contratos inteligentes. Está também nas premissas sobre como a rede registra saldos, avalia ativos e liquida reivindicações. Quando essas premissas falham, até um bug lógico pequeno pode gerar uma perda desproporcionalmente grande.

Para um contexto mais amplo de segurança, a visão geral sobre blockchain do NIST é uma referência útil sobre por que sistemas distribuídos muitas vezes trocam simplicidade por composabilidade e risco.

Como a equipe respondeu

O fundador do Maya Protocol afirmou que a equipe suspendeu todas as negociações para conter os danos, enquanto reparos e correções eram preparados. A equipe também sinalizou que tentaria recuperar os fundos por meio de um arranjo no estilo bounty, na esperança de que o atacante devolvesse os ativos добровamente.

Se a recuperação não acontecer, o protocolo pode buscar compensar cerca de 20 BTC em perdas por meio de receitas de investimento vinculadas a planos relacionados à Aztec Chain.

Essa resposta já se tornou comum em grandes incidentes de DeFi: primeiro congelar a atividade, depois corrigir a lógica vulnerável e, em seguida, decidir se é possível recuperar, compensar ou remediar com recursos do tesouro. O desafio, claro, é que cada hora de inatividade pode enfraquecer a confiança e acelerar a fuga de capital.

O que provedores de liquidez e traders devem aprender

Incidentes como este costumam beneficiar usuários que tratam a exposição a DeFi como um risco gerenciado, e não como uma fonte passiva de rendimento.

Alguns aprendizados práticos:

• Não presuma que um pool grande é automaticamente seguro
• Acompanhe se um protocolo depende de contabilidade cross-chain complexa
• Fique atento a distorções bruscas no preço dos tokens, e não apenas a explorações em contratos
• Separe fundos especulativos de holdings de longo prazo
• Prefira self-custody para os ativos que você não precisa manter em protocolos ativos

Para BTC, ETH e outras posições de longo prazo, uma carteira de hardware pode reduzir a chance de um incidente do lado do protocolo se transformar em perda pessoal. Um dispositivo de autocustódia como a OneKey é especialmente útil para usuários que transitam entre várias chains com frequência, pois mantém as chaves de assinatura isoladas de sessões baseadas no navegador e ajuda a reduzir a exposição a interfaces comprometidas ou aprovações maliciosas.

Considerações finais

O incidente do Maya Protocol é mais um lembrete de que o risco em DeFi costuma ser uma combinação de risco de código e risco de estrutura de mercado. O atacante não precisou roubar todo o valor visível do pool para causar danos sérios; quando a camada de contabilidade quebrou, o restante do mercado rapidamente amplificou a perda.

À medida que a liquidez cross-chain continua a se expandir, os usuários devem prestar tanta atenção à custódia e à segurança operacional quanto ao APY. Em ambientes voláteis como este, proteger chaves privadas e limitar a exposição a saldos ativos em protocolos continua sendo uma das defesas mais confiáveis.