Hariankripto – Maya Protocol menghadapi salah satu insiden keamanan terbesar sejak jaringan tersebut beroperasi. Pada 18 Agustus 2026, seorang hacker memanfaatkan rangkaian kelemahan pada MAYAChain dan menguras aset bernilai sekitar US$1,7 juta.
Tim Maya langsung menghentikan operasi jaringan setelah menemukan aktivitas tidak normal. Mereka kemudian mulai menyelidiki penyebab serangan dan menyusun rencana pemulihan. Tim juga membagikan perkembangan insiden melalui Discord dan X.
Sad news 😕
— Aaluxx⚡️🍫🛡️ (@AaluxxMyth) August 18, 2026
Will work to fix and recover in full. We carry on. @Maya_Protocol pic.twitter.com/EYK9BeWWLI
Data awal menunjukkan penyerang mengeluarkan sekitar 20 BTC senilai kurang lebih US$1,4 juta serta aset tambahan sekitar US$300.000. Analisis lain menghitung sekitar US$1,36 juta aset keras berhasil keluar menuju jaringan Layer 1. Sementara itu, dampak keseluruhan terhadap protokol mencapai sekitar US$11 juta karena serangan juga mengganggu nilai CACAO dan kondisi pool.
Enam Celah Saling Terhubung Membuka Jalan Serangan
Eksploit Maya Protocol tidak muncul dari satu kesalahan besar. Penyerang menggabungkan beberapa kelemahan pada trade account, outbound handling, state management, dan perhitungan pool.
Developer Vini Barbosa menjelaskan bahwa penyerang menjalankan rangkaian tersebut dengan sangat terstruktur. Satu transaksi yang membawa 23 pesan memainkan peran utama dalam serangan.
Masalah pertama muncul ketika proses batched MsgDeposit menimpa data ObservedTxVoter. Pesan DONATE terakhir menggantikan voter sebelumnya dan membuat nilai OutboundHeight menjadi nol.
Kemudian, outbound matcher menggunakan tinggi blok yang salah. Sistem akhirnya menilai outbound yang sebenarnya valid sebagai transaksi yang hilang. Kesalahan tersebut memicu mekanisme deteksi pencurian secara keliru.
Masalah berikutnya muncul pada perhitungan slash subsidy. Sistem tidak membatasi nilai subsidi berdasarkan kedalaman pool yang sebenarnya. Ketika sistem menghitung AssetValueInRune pada pool ARB yang hampir kosong, perhitungan tersebut menghasilkan sekitar 49,45 juta CACAO.
Selanjutnya, fungsi SetPool memperbarui kondisi pool sebelum fungsi SendFromModule menyelesaikan pengiriman dana. Pada saat itu, Reserve hanya memiliki sekitar 168.000 CACAO. Jumlah tersebut tidak cukup untuk mendanai nilai yang sistem hitung.
Namun, sistem tetap mempertahankan kondisi pool yang sudah berubah. Handler hanya mencatat error, menandai voter sebagai selesai, lalu melanjutkan proses tanpa mengembalikan state ke kondisi sebelumnya.
Penyerang kemudian menambahkan likuiditas dalam jumlah sangat kecil ke pool yang sudah membengkak. Langkah itu memberinya sekitar 99,93 persen kepemilikan pool.
Setelah memperoleh kendali tersebut, penyerang menarik sekitar 48,87 juta CACAO dari Asgard. Ia lalu menukar CACAO tersebut menjadi BTC, ETH, RUNE, stablecoin, dan beberapa aset lain.
Alamat yang berkaitan dengan serangan tersebut yaitu maya1dl3yrfpedyr5jfr0r86s2apjltnjqgszmwsv8x. Vini juga melacak sekitar 20,83 BTC sebagai bagian utama aset yang keluar menuju jaringan Bitcoin.
Maya Protocol Hentikan Jaringan dan Komunitas Beri Dukungan
Tim Maya mengambil langkah cepat setelah mengetahui skala serangan. Mereka menghentikan jaringan secara global untuk membatasi kerusakan dan memberi waktu kepada developer untuk menganalisis seluruh jalur eksploit.
Langkah tersebut sesuai dengan mekanisme keamanan MAYAChain yang memungkinkan operator menghentikan aktivitas jaringan saat kondisi darurat muncul. Dokumentasi Maya memang menyediakan mekanisme network halt sebagai bagian dari sistem perlindungan protokol.
Tim Maya juga menyampaikan informasi secara terbuka melalui Discord dan X. Vini Barbosa memuji pendekatan tersebut karena tim memberikan pembaruan aktif dan membagikan analisis awal tanpa menunggu seluruh investigasi selesai.
Yang penting, tim Maya menyatakan bahwa jalur serangan yang sama saat ini tidak dapat menyerang THORChain. Vini juga menegaskan poin tersebut dalam analisis teknisnya.
THORChain dan Maya memang memiliki sejumlah konsep arsitektur yang berkaitan, tetapi keduanya menjalankan jaringan secara terpisah. Karena itu, keberadaan kelemahan pada implementasi Maya tidak otomatis menunjukkan kelemahan yang sama pada THORChain.
Founder Maya Protocol, Aaluxx, ikut merespons insiden tersebut. Ia menyatakan bahwa tim akan memperbaiki masalah dan berusaha memulihkan kerugian secara penuh. Ia menutup pesannya dengan penegasan bahwa proyek tersebut akan terus berjalan.
Sejumlah platform yang menggunakan Maya juga mengambil tindakan pencegahan. LeoDex menghentikan sementara rute yang memakai Maya Protocol. Tim LeoDex menyatakan akan terus memantau perkembangan dan mengaktifkan kembali rute tersebut ketika kondisi sudah memungkinkan.
LeoDex juga menyampaikan dukungan kepada komunitas Maya yang mereka sebut sebagai chocco tribe. Platform tersebut menegaskan dukungannya terhadap pertukaran cross-chain tanpa KYC dan menawarkan bantuan kepada tim Maya selama proses pemulihan.
🚨 Maya Protocol just had a vault exploit for 20 BTC ($1.4M) and $300k worth of other assets
— LeoDex 🦁 (@leodexio) August 18, 2026
The team has done a global halt until a path forward can be carved
Building truly decentralized fintech is hard. We are fervent believers in no-KYC crosschain swaps. LeoDex supports… pic.twitter.com/t7BVTNIRRa
Respons komunitas menjadi perhatian karena Maya Protocol memiliki catatan operasi yang relatif bersih sejak peluncurannya pada 2023. Banyak pengguna melihat keputusan tim untuk segera menghentikan jaringan dan membuka informasi sebagai langkah penting untuk menjaga kepercayaan selama proses pemulihan.
Aaluxx Dorong Aztec Chain untuk Membantu Pemulihan Maya
Insiden ini juga dapat mempercepat rencana teknologi berikutnya dari tim yang membangun ekosistem Maya. Aaluxx mengatakan tim kemungkinan akan mempercepat pengembangan Aztec Chain, platform DeFi omnichain generasi berikutnya.
Menurut Aaluxx, pengembang membangun proyek tersebut dari pengalaman yang mereka peroleh melalui Maya Protocol, THORChain, dan Rujira Network. Tim juga telah mengerjakan teknologi tersebut selama lebih dari delapan bulan.
Pengembang sebelumnya mengembangkan fork dan perluasan teknologi Near. Mereka kemudian mengerjakan berbagai komponen DeFi Rujira, dynamic orderbook, confidential swaps, omnibridge, message bus, dan 1-Click API.
Rencana pendanaan Aztec Chain juga memiliki hubungan langsung dengan pemulihan Maya. Aaluxx menyatakan sebagian dana yang proyek tersebut kumpulkan akan masuk kembali ke pool Maya untuk membantu memulihkan dampak eksploit.
Strategi itu menunjukkan bahwa tim tidak hanya fokus memperbaiki kode. Mereka juga mencari sumber modal untuk mengisi kembali likuiditas yang terdampak.
Namun, proses pemulihan masih bergantung pada hasil investigasi akhir. Developer perlu memastikan semua jalur eksploit sudah tertutup sebelum jaringan kembali beroperasi secara normal. Tim juga perlu menentukan kondisi pool, distribusi kerugian, serta mekanisme pemulihan aset.
