Maya Protocolで不正流出、BTCなど約170万ドル被害　プール価値は約1,100万ドル減

クロスチェーン流動性プロトコルのMaya Protocolは、ソフトウェア上の不具合が連鎖して流動性プールの残高が不正に膨らみ、攻撃者に資産を引き出されたとして、MAYAChainネットワークを停止した。被害はビットコイン（BTC）を中心に約170万ドル相当で、事象の波及を含めるとプール価値の減少は約1,100万ドルに達したという。 創業者のAaluxx（@AaluxxMyth）はXで、約20BTC（約140万ドル）に加え、その他資産約30万ドル相当が不正に流出したと説明。被害拡大を防ぐため取引を全面停止し、修正対応を進めた上でスワップを再開するとしている。 MAYAChainは、中央集権型取引所を介さずにビットコインやイーサ（ETH）などを交換できる小規模なクロスチェーン取引ネットワークで、より広いMayaエコシステムの一部。ユーザーはネットワークに預け入れられた暗号資産プールを相手に取引し、共通資産としてCACAOトークンが各市場をつなぐ役割を担う。 技術的な事後分析では、6つのバグが組み合わさって攻撃が成立したとされる。発端は、MAYAChainが出金トランザクションが"消失"したと誤認し、盗難時の補填を想定したコードを実行したことだった。ところが補填額の計算に誤りがあり、準備金が約168,000 CACAOしかないにもかかわらず、小規模プールに約4,900万CACAOを加算した。送金自体は失敗したものの、別の不具合により新しい残高だけがネットワーク記録に保存され、失敗時に巻き戻されないまま、プールにトークンが存在する前提で稼働が続いた。 攻撃者はこの歪んだプールに少額を入金して持分の99%以上を掌握し、直後に4,887万CACAOを引き出した上で、それらを用いてプール内にあるBTCやETHなどへ次々とスワップした。オンチェーン記録では、攻撃者のビットコインアドレスに20.83BTC（約134万ドル）が送付された。分析によれば、外部チェーンへ移された資産は約136万ドル相当で、攻撃者のMAYAChainウォレットにはCACAOが約887万枚残っていた。 攻撃者の売却でCACAO価格は急落した。エクスプロイト前は約0.115ドルで取引されていたが、一時0.013ドルまで下落し、下落率は約89%。その後は約0.03ドル付近まで戻した。 影響は直接の流出にとどまらない。CACAOの急落を受け、アービトラージ（裁定）取引者が割安になったCACAOを買い、MAYAChainのプールでBTC、ETH、ステーブルコインなどへ交換する動きが広がった。技術検証では、攻撃者が個人的に引き出した額はオンチェーンに残る分を含め約165万ドルと推定される一方、プール価値の大幅な減少はCACAO価格崩壊と裁定取引が主因だと整理した。この区別は重要で、プールの減少額全体を"盗難額"として扱えないとしている。 分析推計では、事象中にプール価値は約1,090万ドル減少。そのうち約640万ドルはCACAOの価値低下による影響で、さらに約290万ドルは価格乖離を狙った取引者の裁定によるものだった。 MAYAChainは、攻撃者がバグバウンティ（報奨金）と引き換えに資金を返還することに期待を示した。返還がない場合は、Aztec Chainへの投資などを通じて不足分の約20BTCを補填する方針も示している。なお、ソフトウェア修正だけではプールの回復には直結しない。エクスプロイトで生成されたCACAOの多くが他市場へスワップされ、一般の流動性提供者のトークンと混在しているためだ。