Eksploit Maya Protocol Kuras Hampir US$1,7 Juta; Nilai Pool MAYAChain Susut Sekitar US$11 Juta

Protokol likuiditas lintas-chain Maya Protocol menghentikan jaringan MAYAChain setelah serangkaian bug perangkat lunak memunculkan saldo palsu pada salah satu pool likuiditas. Celah itu dimanfaatkan penyerang untuk menguras hampir US$1,7 juta dalam bentuk bitcoin (BTC) dan aset lain, serta memicu dampak lanjutan yang membuat nilai pool turun sekitar US$11 juta. Pendiri Maya Protocol, @AaluxxMyth, menulis di X bahwa eksploit tersebut menguras 20 BTC senilai sekitar US$1,4 juta, ditambah kira-kira US$300.000 aset lainnya. Tim menghentikan seluruh aktivitas perdagangan untuk membatasi kerusakan dan menyatakan sedang menyiapkan perbaikan sebelum swap dibuka kembali. MAYAChain merupakan jaringan perdagangan lintas-chain berukuran relatif kecil yang memungkinkan pengguna menukar aset seperti bitcoin dan ether tanpa melalui bursa terpusat. Di ekosistem Maya, para trader bertransaksi melawan pool kripto yang disetor ke jaringan, dengan token CACAO berperan sebagai aset penghubung antar pasar. Rekonstruksi teknis insiden menyimpulkan ada enam bug yang saling berantai. Masalah bermula saat MAYAChain keliru menilai sebuah transaksi keluar "hilang" dan memicu kode kompensasi untuk pool likuiditas—mekanisme yang seharusnya digunakan setelah kejadian pencurian. Perhitungan kompensasi ini salah: sekitar 49 juta CACAO ditambahkan ke sebuah pool kecil, padahal cadangan MAYAChain hanya sekitar 168.000 CACAO sehingga tidak mampu membiayai pembayaran. Transfernya gagal, tetapi bug lain membuat saldo baru sudah terlanjur tersimpan di catatan jaringan. Alih-alih membalikkan perubahan setelah pembayaran gagal, MAYAChain terus berjalan seakan-akan pool benar-benar memiliki tambahan token itu. Penyerang lalu menyetor dana sangat kecil ke pool yang sudah terdistorsi dan berujung menguasai lebih dari 99% pool tersebut. Mereka segera menarik 48,87 juta CACAO, kemudian menukarkannya menjadi bitcoin, ether, dan aset lain yang tersimpan di pool MAYAChain. Catatan onchain menunjukkan 20,83 BTC senilai sekitar US$1,34 juta dikirim ke alamat bitcoin milik penyerang. Analisis menyebut aset yang sudah berpindah ke blockchain eksternal bernilai sekitar US$1,36 juta, sementara 8,87 juta CACAO masih berada di dompet MAYAChain penyerang. Harga CACAO tertekan saat penyerang menjual di dalam jaringan. Token ini diperdagangkan sekitar US$0,115 sebelum eksploit, sempat jatuh hingga US$0,013—turun hampir 89%—sebelum pulih ke kisaran US$0,03. Penurunan CACAO memicu kerugian lebih luas dari sekadar aset yang langsung diambil penyerang. Saat CACAO anjlok, trader arbitrase membeli token yang mendadak murah dan menukarkannya kembali menjadi bitcoin, ether, stablecoin, serta aset lain dari pool MAYAChain. Rekonstruksi teknis memperkirakan penyerang secara pribadi mengekstraksi sekitar US$1,65 juta, termasuk token yang masih tersimpan onchain. Sementara itu, penyusutan nilai pool yang lebih besar berasal dari aktivitas arbitrase dan runtuhnya harga CACAO. Pembedaan ini penting karena total penurunan nilai pool tidak bisa disamakan dengan jumlah yang dicuri. Analisis memperkirakan nilai pool turun sekitar US$10,9 juta selama kejadian. Sekitar US$6,4 juta di antaranya berasal dari turunnya nilai CACAO, dan sekitar US$2,9 juta terkait trader yang memanfaatkan dislokasi harga melalui arbitrase. MAYAChain menyatakan berharap penyerang mengembalikan dana sebagai imbalan bug bounty. Tim juga mengatakan akan berupaya mengganti sekitar 20 BTC melalui investasi di Aztec Chain dan cara lain jika dana tidak kembali. Perbaikan perangkat lunak saja tidak otomatis memulihkan pool, karena sebagian CACAO yang tercipta lewat eksploit telah ditukar ke pasar MAYAChain lain dan kini bercampur dengan token milik penyedia likuiditas biasa.