Maya Protocol pierde 1,7 millones de dólares tras una vulnerabilidad que, gracias a seis fallos de seguridad, expone las deficiencias DeFi

Esta semana, Maya Protocol fue víctima de un ataque informático que explotó una vulnerabilidad, lo que evidencia un problema mayor: las herramientas de defensa tienen dificultades para hacer frente a ataques sofisticados. La empresa de seguridad blockchain CertiK estimó que la pérdida directa total ascendió a aproximadamente 1,7 millones de dólares, ya que el hacker engañó a Maya para que otorgara un subsidio inexistente y, posteriormente, añadió y retiró liquidez repetidamente para extraertracde los fondos compartidos.

Las consecuencias del ataque afectaron de inmediato a los proveedores de liquidez de Maya y a los titulares de CACAO. Lo más importante es que las vulnerabilidades no fueron simplemente el resultado directo de una línea de código defectuosa. El ataque se aprovechó de una lógica de protocolo habitual que se comportaba de forma diferente a la esperada, lo que hizo que este tipo de ataque fuera indetectable hasta que ya era demasiado tarde para detenerlo.

Cómo el atacante manipuló la contabilidad de Maya

Según CertiK, quedentel incidente el 19 de agosto, el hacker provocó una tergiversación de la contabilidad interna de Maya mediante un subsidio falso, para finalmente alterar las posiciones de liquidez y retirar aproximadamente 48,87 millones de CACAO y 98,82 LINK. DefiLlama Hacks and Exploits Database clasificó el incidente del 18 de agosto como "Protocol Logic" y le atribuyó una pérdida de 1,7 millones de dólares.

El daño fue considerablemente mayor. El desarrollador Vini Barbosa lo describió como una "sofisticada vulnerabilidad de seis errores" que sustrajo más de 1,36 millones de dólares en activos del protocolo, pero cuyo impacto total ascendió a casi 11 millones de dólares debido al desplome del precio de CACAO. Según él, el token cayó de 0,115 a 0,013 dólares en menos de 240 bloques, registrando una caída de casi el 89%.

Aaluxx, uno de los fundadores de Maya, reconoció los daños ese mismo día. Añadió que el equipo “trabajarápara repararlos y recuperarlos por completo”.

Un patrón que THORChain ya había experimentado

Maya es una filial de THORChain, que sufrió un ataque informático de 10,7 millones de dólares en mayo. En su análisis posterior al ataque, THORChain afirmó que un nuevo operador de nodo aprovechó las vulnerabilidades del sistema de firma umbral GG20 de la red, y que las comprobaciones de solvencia del sistema solo detectaron el problema una vez finalizado el ataque.

Posteriormente, Aaluxx aclaró en el podcast de la comunidad de THORChain que el ataque se basó en tres errores antiguos que, si bien no eran peligrosos individualmente, combinados podían resultar problemáticosmaticAñadió que Maya también presentaba esta misma vulnerabilidad latente.

Para determinar la causa del ataque, fue necesaria una investigación forense exhaustiva. El equipo tuvo que examinar los parámetros de configuración criptográfica y buscar números primos insignificantes que no deberían estar presentes para localizar las bóvedas infectadas. Esto, en esencia, revela una vulnerabilidad general para los defensores: un simple monitor de saldo puede detectar pérdidas una vez que los fondos ya han cambiado de manos, momento en el que podría ser demasiado tarde para evitar que el ataque continúe.

Así es como se ve realmente la mejora de la defensa

Aaluxx advirtió que la tecnología de IA permite a equipos pequeños investigar bases de código desde un mayor número de perspectivas simultáneamente. Esto es útil para los defensores, pero también ofrece a los atacantes más métodos para descubrir vulnerabilidades únicas que los procesos de auditoría actuales podrían pasar por alto.

La solución que eligió fue la redundancia, en lugar de depender de un solo sistema. Maya y THORChain no optaron por la integración, sino que prefirieron mantenerse independientesdent De esta forma, Maya pudo seguir realizando intercambios utilizando una bóveda verificable y en buen estado, mientras que THORChain permaneció inactivo durante semanas.

La comparación resulta particularmente interesante porque el propio análisis posterior al fallo de THORChain indica que la causa principal no fue un único fallomatic , sino tres errores antiguos que se volvieron explotables al combinarse. THORChain también señala explícitamente que el mismo error latente existía en Maya, pero no había sido explotado previamente.

¿Cómo pueden los protocolos DeFi prevenir las vulnerabilidades encadenadas?

Los protocolos deben probar las interacciones entre los controles de seguridad, no solo las vulnerabilidades individuales. El incidente de Mayadent cómo la detección errónea de robos, el manejo defectuoso de transacciones salientes y los errores de contabilidad de liquidez podrían volverse peligrosos al combinarse. Las defensas mástronincluyen pruebas de invariantes, simulación adversaria de rutas de ataque de múltiples pasos, revisión independientedent la lógica contable, detección de anomalías en tiempo real y disyuntores automáticosmatic retiros anormales o saldos de fondos. Una investigación publicada este mes aboga de manera similar por la detección y defensa multicapa en lugar de depender de un único mecanismo de seguridad.

Estas cifras a nivel de bloque se informan en la reconstrucción del incidentedent proporcionan una forma particularmente útil de conectar la mecánica de explotación → extracción de activostracdaño al precio del token.

Contención de daños

Los datos del sector ponen de manifiesto la importancia de reforzar las defensas. Según TRM Labs, en los primeros seis meses de 2026tracestán siendo atacados cada vez más mediante diversas técnicas, en lugar de una sola vulnerabilidad. El exploit Maya encaja perfectamente con esta tendencia. se registraron 207 ataques informáticos en el mundo de las criptomonedas, la cifra más alta jamás registrada en un periodo de seis meses. La empresa afirma que los inteligentes

La conclusión a la que se llega es que ya no es posible garantizar la seguridad DeFi sindenty corregir errores específicos. Los protocolos deben incluir monitoreo multicapa, el uso de diversos mecanismos de revisióndent, la instalación de un mecanismo de parada rápida en caso de emergencia y la capacidad de implementar las correcciones antes de que la transacción cuestionable se vuelva irreversible.

Maya no solo busca resolver el problema actual. Aaluxx indicó que la compañía tiene la intención de acelerar el desarrollo de Aztec Chain, un DeFi basado en la experiencia adquirida con sus proyectos anteriores: Maya, THORChain y Rujira. Si estas lecciones les permiten crear mejores soluciones en lugar de simplemente reiniciar el ciclo de corrección de errores, el incidente de Mayadent resultar más valioso de lo que sugiere la pérdida de 1,7 millones de dólares.

Si estás leyendo esto, ya llevas ventaja. Mantente al día con nuestro boletín informativo.