Un exploit en Maya Protocol vacía 1,7 millones de dólares en BTC y otros activos; el valor de los pools cae 11 millones

El protocolo de liquidez crosschain Maya Protocol detuvo su red MAYAChain después de que una cadena de fallos de software generara un saldo ficticio en uno de sus pools. El error permitió a un atacante retirar cerca de 1,7 millones de dólares en bitcoin (BTC) y otros activos, y desencadenó efectos secundarios que elevaron las pérdidas totales en torno a los 11 millones de dólares. El fundador, @AaluxxMyth, explicó en X que el exploit se llevó 20 BTC (aproximadamente 1,4 millones de dólares) más unos 300.000 dólares en otros activos. El equipo suspendió todo el trading para contener el incidente y asegura que trabaja en una corrección antes de reanudar los swaps. MAYAChain es una red de intercambio crosschain de menor tamaño dentro del ecosistema Maya que permite canjear activos como bitcoin y ether sin pasar por un exchange centralizado. Las operaciones se ejecutan contra pools de liquidez depositados en la red, con el token CACAO como activo común entre mercados. La reconstrucción técnica del ataque identificó seis fallos que actuaron en conjunto. El proceso comenzó cuando MAYAChain interpretó por error que una transacción saliente se había perdido y activó un mecanismo pensado para compensar a un pool tras un robo. Ese sistema calculó mal la compensación: añadió cerca de 49 millones de CACAO a un pool pequeño pese a que la reserva de MAYAChain solo contaba con unos 168.000 CACAO, insuficientes para respaldar el pago. La transferencia falló, pero otro bug hizo que el nuevo saldo quedara registrado. En lugar de revertir el cambio tras el fallo del pago, la red siguió operando como si el pool realmente contuviera esos tokens. El atacante depositó una cantidad mínima en el pool distorsionado y pasó a controlar más del 99% del mismo. A continuación retiró 48,87 millones de CACAO y empezó a canjearlos por bitcoin, ether y otros activos alojados en los pools de MAYAChain. Los registros onchain muestran que se enviaron 20,83 BTC, valorados en unos 1,34 millones de dólares, a la dirección de bitcoin del atacante. El análisis confirma que salieron hacia blockchains externas activos por unos 1,36 millones de dólares, mientras otros 8,87 millones de CACAO permanecían en la wallet del atacante en MAYAChain. La venta masiva hundió CACAO. El token cotizaba alrededor de 0,115 dólares antes del exploit y llegó a caer hasta 0,013 dólares, un descenso cercano al 89%, para luego recuperarse hasta la zona de 0,03 dólares. El desplome provocó daños adicionales más allá de los activos retirados directamente. Con CACAO a precios deprimidos, operadores de arbitraje compraron el token y lo intercambiaron por bitcoin, ether, stablecoins y otros activos dentro de los pools. La reconstrucción estima que el atacante extrajo personalmente cerca de 1,65 millones de dólares, incluyendo los tokens aún en cadena, mientras que la mayor caída del valor agregado de los pools se debió al arbitraje y al hundimiento del precio de CACAO. El matiz es relevante: el deterioro total de los pools no equivale a lo "robado". Según el análisis, el valor de los pools cayó unos 10,9 millones de dólares durante el episodio: aproximadamente 6,4 millones reflejaron la pérdida de valor de CACAO y otros 2,9 millones se atribuyeron al arbitraje tras la dislocación de precios. MAYAChain señaló que espera que el atacante devuelva los fondos a cambio de una recompensa por reporte de vulnerabilidad (bug bounty). También indicó que, si no se recupera el dinero, buscará reponer los cerca de 20 BTC mediante inversiones en Aztec Chain y otras vías. Arreglar el software no restaura por sí solo los pools: una parte relevante del CACAO creado en el exploit se intercambió en otros mercados de MAYAChain y ahora está mezclado con tokens de proveedores de liquidez ordinarios.