MAYAChain 驚傳 170 萬美元漏洞攻擊：事件完整分析與影響解讀

如果你有在關注跨鏈 DEX（去中心化交易所），可能已經聽說 MAYAChain 在上週無預警暫停網路——原因是一起估計損失達 170 萬美元的安全漏洞事件。這不只是單純的盜幣，更暴露出跨鏈協議在設計上的潛在風險。

事件脈絡：攻擊如何發生？

根據 MAYAChain 匿名共同創辦人 Aalux 公布的初步技術分析，這起漏洞涉及六個連環錯誤（six chained bugs），主要出現在三個環節：交易帳戶管理、離開交易處理，以及流動性池的計算邏輯。

攻擊者僅用一筆包含 23 條訊息的交易，就成功掏空了約 4,887 萬顆 CACAO（MAYAChain 的原生 Gas 與結算代幣）。值得注意的是，這筆攻擊的巧妙之處在於：它「誤導」了協議的防盜機制，讓系統以為某些轉帳是「未完成」的，進而錯誤地發放補償。

攻擊步驟拆解

• 第一步：攻擊者操控一筆轉帳紀錄，讓系統將其視為「失蹤轉帳」
• 第二步：防盜機制啟動補償邏輯，卻因為流動性池（特別是 Arbitrum Chainlink 池）餘額過低，計算錯誤地核發了約 4,945 萬顆 CACAO
• 第三步：補償轉帳失敗（因為儲備不足），但錯誤的池餘額已經被寫入
• 第四步：攻擊者注入極少流動性，瞬間取得該池 99.93% 的份額
• 第五步：從 Asgard（協議資產保管地址）提出 4,887 萬顆 CACAO

資金影響：代幣暴跌與流動性損失

攻擊結束後，CACAO 幣價從約 0.115 美元崩跌至 0.013 美元，跌幅高達 88.7%。這不是只有攻擊者竊走的 170 萬美元這麼簡單——整個流動性池的實際損失更高。

Aalux 的分析指出，MAYAChain 各池合計損失約 1,090 萬美元，這個數字包含被盜走的資產、CACAO 暴跌造成的套利損失，以及流動性被擊穿的連帶傷害。對一個仍在發展中的跨鏈協議來說，這無疑是一次重擊。

團隊回應與後續發展

事件發生後，MAYAChain 立即暫停網路以防止進一步損失。Aalux 表示團隊已著手修復漏洞，並且正在與攻擊者協商透過 bug bounty（漏洞賞金）計畫歸還資金。

不過，截至發稿為止，Cointelegraph 向 MAYA 團隊尋求更多細節，尚未獲得正式回覆。這也讓社群對於協議的透明度與未來安全性產生疑慮。

這起事件告訴我們什麼？

老實說，跨鏈 DEX 的安全性一直是業界痛點。MAYAChain 是基於 THORChain 的開源程式碼建構的，理論上應該承接了相對成熟的技术框架。但這次事件顯示，即使有前人經驗，系統之間的交互邏輯仍然可能產生意外的漏洞。

對於一般投資人來說，這件事有幾個值得記住的教訓：

• 流動性低的池子特別容易成為攻擊目標，因為定價機制容易被操控
• 跨鏈協議的「防盜機制」並非萬無一失，它仍然依賴正確的程式碼邏輯
• 不要把「暫停網路」當成完全安全的保障——攻擊往往在恢復後才真正開始

FAQ 常見問題

MAYAChain 被攻擊損失多少？

攻擊者竊取約 20 枚比特幣（當時價值約 140 萬美元）與其他資產，合計約 170 美元。但整個流動性池的實際損失估計達 1,090 萬美元。

CACAO 代幣跌了多少？

CACAO 從攻擊前的約 0.115 美元暴跌至 0.013 美元，跌幅接近 89%。

MAYAChain 現在安全嗎？

團隊已暫停網路並開始修復漏洞，但目前尚未公佈完整的安全審計報告。建議持續關注官方公告，等正式恢復營運後再進行操作。

我可以拿回被盜的資金嗎？

團隊表示將透過 bug bounty 與攻擊者協商，但無法保證資金一定能夠全數歸還。過去類似案例中，成功追回的比率並不高。

如果你有使用 MAYAChain 或持有 CACAO，建議先確認官方恢復營運的公告，並且重新評估自己的風險承受能力。 DeFi 世界裡，沒有絕對安全的協議——保持謹慎，永遠是保護資產的最佳策略。