Last Updated on 2026年8月20日 by oba3
クロスチェーン流動性プロトコルのマヤ・プロトコル（Maya Protocol）が、複数のソフトウェア不具合を連鎖させた攻撃を受け、MAYAChainのネットワークを停止した。攻撃では約20.83BTCを中心に暗号資産が流出し、被害額は約170万ドル規模と報告されている。今回の焦点は被害額の大きさだけではない。マヤ・プロトコルはビットコイン（Bitcoin）を含む異なるチェーンの資産をネイティブな形で交換する流動性基盤であり、一つの会計・検証処理の不備が別チェーンの実資産流出とネットワーク全体の停止へ波及した。クロスチェーン市場では、橋渡しする資産数が増えるほど便利になる一方、共有する状態管理の信頼境界も広がる。
何が起きたのか？
マヤ・プロトコルは2026年8月18日から19日にかけて、MAYAChainで確認された攻撃を受けネットワークを停止した。報告では、攻撃者は単一の脆弱性ではなく、6件のソフトウェア上の問題を連鎖させて悪用したとされる。
攻撃では流動性プールの会計処理が不正に操作され、本来十分な資金が投入されていないにもかかわらず、約4900万CACAO相当の残高が存在するように処理された。攻撃者は小規模な流動性プールの持分をほぼ支配する状態を作り、その後約4887万CACAOを引き出す経路を利用した。
オンチェーン上では約20.83BTCが攻撃者側のビットコインアドレスへ移動したことが確認され、その他の資産を含む被害額は約170万ドル規模と推定されている。ビットコイン部分が被害の大半を占めた。
一方、マヤ・プロトコル側は追加被害を抑えるためネットワークを停止し、脆弱性修正と流動性回復に着手した。現時点で重要なのは、攻撃原因がビットコインのプロトコルそのものにあったわけではなく、複数チェーン資産を管理するMAYAChain側の処理にあった点だ。
なぜ重要なのか？
クロスチェーンプロトコルは、異なるブロックチェーンの資産を一つの取引環境へまとめる役割を持つ。マヤ・プロトコルでは、ビットコインのようなネイティブ資産をラップトークンへ変換せず、別チェーンの資産と交換できることが特徴だった。
しかしこの利便性を実現するには、各チェーンの入出金、流動性プールの残高、持分、交換レートなどを正確に同期させなければならない。一つの会計処理が誤った残高を正当な資産として認識すれば、その誤差を利用して別チェーン上の本物の資産を引き出される可能性がある。
今回の攻撃は、その連鎖を具体的に示した。問題はビットコイン側の秘密鍵やコンセンサスではなく、クロスチェーン流動性層が内部で保持する資産状態の整合性だった。つまり安全な基盤チェーンを使っていても、その上で複数資産を結ぶプロトコルの検証が崩れれば資産保全は成立しない。
市場構造への影響
クロスチェーン市場では、ブリッジや流動性ネットワークが異なるブロックチェーン間の資本移動を支えている。利用者から見ると、ビットコイン、イーサリアム（Ethereum）などを一つのサービスから交換できるため、チェーンごとに別の取引所へ移動する必要を減らせる。
一方、この構造では複数の資産が共通の会計ロジックを利用する。特定のプールだけで発生した不整合でも、ネットワークが他の資産を引き出す権利まで誤って認めれば、被害はそのプールだけに閉じない。
今回マヤ・プロトコルがネットワーク全体を停止したことは、この相互依存を示している。局所的な問題を抱えたまま取引を続ければ、別のプールやチェーンへ攻撃が広がる可能性があるため、安全確保のためには全体停止という強い措置が必要になる場合がある。
これはクロスチェーン流動性基盤の競争条件にも影響する。対応チェーン数、手数料、取引速度だけでなく、異常な残高生成をどこで検出するか、資産ごとに損失を隔離できるか、問題発生時にネットワーク全体を止めずに一部機能だけを遮断できるかが重要になる。
資金・規制・流動性との関係
クロスチェーン流動性プロトコルでは、各プールへ預けられた資産が他の利用者の交換を支える。したがって会計上の架空残高が生まれると、攻撃者は実際には提供していない価値を持っているように見せ、その権利を使って実資産を取り出すことができる。
今回のようにビットコインが流出した場合、その損失は単なるソフトウェア障害ではなく流動性提供者の資産価値へ直接影響する。プロトコル側が流動性を補填する場合には、トレジャリーや保険基金など別の資金源も必要になる。
またネットワーク停止中は、新しい交換だけでなく既存資産へのアクセスにも制約が生じる可能性がある。クロスチェーン市場では流動性そのものが複数チェーンへ分散しているため、停止時間が長引けば利用者が別の取引経路へ移動し、復旧後の流動性回復にも影響し得る。
規制面でも、クロスチェーンプロトコルが機関利用へ広がる場合、監査済みコードだけでは十分とは限らない。インシデント時の停止権限、資産隔離、損失処理、利用者への情報開示まで含めて運用設計を確認する必要がある。
初心者向け補足
クロスチェーンとは、異なるブロックチェーンの資産や情報を接続する仕組みだ。例えばビットコインと別チェーン上の資産を交換する場合、それぞれのネットワーク上で資産が正しく入出金されたことを確認しなければならない。
流動性プールは、利用者が資産を預けて交換に必要な資金を提供する仕組みだ。プロトコルは誰がどれだけ資産を預け、どれだけの持分を持つのかを正確に記録する必要がある。
今回の問題では、この記録処理を攻撃者が操作し、実際以上の持分を持っているような状態を作ったとされる。その結果、プールから本物の資産を引き出すことが可能になった。
重要なのは、ビットコインそのものが攻撃されたわけではないことだ。ビットコインを他チェーンの資産と交換するための上位レイヤーに問題があり、そこからビットコイン流出へつながった。
Web3Timesの視点
Web3Timesが今回見るのは、約170万ドルのハッキング被害という数字ではない。焦点は、ビットコインのように安全性の高い基盤チェーンでも、それを他チェーンへ接続する流動性層では別の信頼境界が生まれることだ。
クロスチェーン金融では、利用者は一つの取引画面から複数資産へアクセスできる。しかし裏側では各チェーンの入出金、プール残高、持分、価格、清算など複数の状態を一つのプロトコルが判断している。ここで一つの検証が崩れると、別チェーン上の資産まで引き出される可能性がある。
今回6件の不具合が連鎖したとされる点も重要だ。セキュリティは一つの重大バグだけを探せばよいわけではなく、それぞれ単独では限定的に見える不具合が組み合わされたとき、どこまで権限が拡大するかを評価する必要がある。
今後注目されるのは、マヤ・プロトコルが流出資産をどこまで回復できるかだけではない。ネットワーク復旧後に会計処理をどのように修正するのか、資産ごとの障害隔離を強化できるのか、そして他のクロスチェーン流動性基盤が同様の複合攻撃を防ぐ設計を持っているのかが焦点になる。複数チェーンを一つの金融市場へ結ぶほど、その接続層は便利な橋ではなく、すべての資産を横断して守る必要がある中核インフラになる。
