Exploit no Maya Protocol drena US$ 1,7 milhão em BTC e outros ativos e derruba valor dos pools em US$ 11 milhões

O protocolo de liquidez crosschain Maya Protocol interrompeu a rede MAYAChain após uma sequência de falhas de software gerar um saldo falso em um de seus pools, permitindo que um invasor retirasse quase US$ 1,7 milhão em bitcoin (BTC) e outros ativos. O episódio também provocou um efeito em cadeia que levou a perdas totais próximas de US$ 11 milhões. O fundador, @AaluxxMyth, afirmou no X que a exploração envolveu 20 BTC, avaliados em cerca de US$ 1,4 milhão, além de aproximadamente US$ 300 mil em outros ativos. Para conter o problema, a equipe suspendeu todas as negociações e informou que trabalha em uma correção antes da retomada dos swaps. A MAYAChain é uma rede menor de negociação crosschain que permite a troca de ativos como bitcoin e ether sem passar por uma corretora centralizada. Ela integra o ecossistema Maya, no qual os traders negociam contra pools abastecidos por criptos depositadas na rede, com o token CACAO funcionando como ativo comum que conecta esses mercados. Uma reconstituição técnica do ataque apontou seis bugs que precisaram atuar em conjunto. A sequência começou quando a MAYAChain interpretou de forma equivocada que uma transação de saída havia "sumido" e acionou um código destinado a compensar um pool de liquidez após um roubo. O mecanismo de segurança, no entanto, calculou mal essa compensação: foram adicionados cerca de 49 milhões de CACAO a um pool pequeno, mesmo com a reserva da MAYAChain contendo apenas cerca de 168 mil CACAO, insuficientes para cobrir o pagamento. A transferência falhou, mas outra falha fez com que o novo saldo já tivesse sido registrado nos dados da rede. Em vez de reverter a alteração após o fracasso do pagamento, a MAYAChain seguiu operando como se o pool realmente tivesse recebido os tokens extras. Com o pool distorcido, o invasor depositou uma quantia mínima e passou a deter mais de 99% dele. Em seguida, sacou 48,87 milhões de CACAO e começou a trocá-los por bitcoin, ether e outros ativos existentes nos pools da MAYAChain. Registros onchain indicam que 20,83 BTC, avaliados em cerca de US$ 1,34 milhão, foram enviados ao endereço de bitcoin do invasor. A análise confirmou que ativos no valor de aproximadamente US$ 1,36 milhão foram movidos para blockchains externas, enquanto outros 8,87 milhões de CACAO permaneceram na carteira do invasor na MAYAChain. O CACAO despencou com as vendas dentro da rede. O token era negociado perto de US$ 0,115 antes do exploit e caiu até US$ 0,013, recuo de quase 89%, antes de se recuperar para a região de US$ 0,03. A queda gerou danos além do que foi retirado diretamente pelo invasor. Com o CACAO em forte baixa, arbitradores compraram o token com desconto e o trocaram por bitcoin, ether, stablecoins e outros ativos nos pools da MAYAChain. A reconstituição técnica estimou que o invasor extraiu pessoalmente cerca de US$ 1,65 milhão, incluindo tokens ainda mantidos onchain, enquanto a maior parte da redução do valor dos pools veio da arbitragem e do colapso do preço do CACAO. Essa diferença é relevante porque o impacto total nos pools da MAYAChain não equivale ao montante roubado. A análise estima que o valor dos pools caiu cerca de US$ 10,9 milhões durante o evento: aproximadamente US$ 6,4 milhões refletiram a desvalorização do CACAO e outros US$ 2,9 milhões vieram de operações de arbitragem explorando a distorção de preços. A MAYAChain disse esperar que o invasor devolva os recursos em troca de um bug bounty. A equipe também afirmou que buscará repor os cerca de 20 BTC por meio de investimentos na Aztec Chain e outras alternativas caso os fundos não sejam retornados. Segundo a análise, corrigir o software não restabelece automaticamente os pools. Grande parte do CACAO criado no exploit foi trocada por outros ativos dentro da MAYAChain e se misturou a tokens pertencentes a provedores de liquidez comuns.