Exploit la Maya Protocol: pierderi de 1,7 mil. USD în BTC și alte active, valoarea pool-urilor scade cu 11 mil. USD

Protocolul de lichiditate crosschain Maya Protocol a oprit rețeaua MAYAChain după ce o serie de erori software au generat un sold fals într-un pool de lichiditate, permițând unui atacator să retragă aproape 1,7 milioane de dolari în bitcoin (BTC 64.177,56 USD) și alte active. Efectele secundare au dus la scăderi totale de aproximativ 11 milioane de dolari la nivelul pool-urilor. Fondatorul, @AaluxxMyth, a declarat pe X că au fost exploatați 20 BTC, în valoare de circa 1,4 milioane de dolari, plus aproximativ 300.000 de dolari în alte active. Echipa a suspendat toate tranzacțiile pentru a limita pagubele și lucrează la o remediere înainte de reluarea swap-urilor. Într-o postare, fondatorul a spus: "Sad news. Will work to fix and recover in full. We carry on." MAYAChain este o rețea crosschain de dimensiuni mai mici, care permite utilizatorilor să schimbe active precum bitcoin și ether fără a trece printr-un exchange centralizat, fiind parte a ecosistemului Maya. Tranzacțiile se fac contra unor pool-uri de criptomonede depuse în rețea, iar tokenul CACAO funcționează ca activ comun între piețe. O reconstrucție tehnică a atacului a identificat șase bug-uri care au acționat împreună. Incidentul a pornit după ce MAYAChain a evaluat greșit o tranzacție de ieșire ca fiind "dispărută" și a activat codul destinat compensării unui pool în urma unui furt. Mecanismul de siguranță a calculat însă incorect compensarea: a adăugat aproximativ 49 de milioane de CACAO într-un pool mic, deși rezerva MAYAChain avea doar circa 168.000 de CACAO și nu putea finanța plata. Transferul a eșuat, dar un alt bug a făcut ca noul sold să fie deja salvat în evidențele rețelei. În loc să inverseze modificarea după eșecul plății, MAYAChain a continuat să funcționeze ca și cum pool-ul ar fi conținut efectiv tokenurile suplimentare. Atacatorul a depus apoi o sumă infimă în pool-ul distorsionat și a ajuns să dețină peste 99% din acesta. A retras imediat 48,87 milioane de CACAO și a început să schimbe tokenurile în bitcoin, ether și alte active din pool-urile MAYAChain. Datele on-chain indică trimiterea a 20,83 BTC, în valoare de aproximativ 1,34 milioane de dolari, către adresa de bitcoin a atacatorului. Analiza confirmă ieșiri către blockchain-uri externe de circa 1,36 milioane de dolari, în timp ce alte 8,87 milioane de CACAO au rămas în portofelul MAYAChain al atacatorului. CACAO s-a prăbușit pe fondul vânzărilor în rețea. Tokenul se tranzacționa în jur de 0,115 USD înainte de exploit și a coborât până la 0,013 USD, o scădere de aproape 89%, apoi și-a revenit către aproximativ 0,03 USD. Declinul a amplificat pierderile dincolo de activele retrase direct de atacator. Pe măsură ce CACAO s-a ieftinit puternic, arbitrajorii au cumpărat tokenul și l-au schimbat pe bitcoin, ether, stablecoins și alte active din pool-urile MAYAChain. Reconstrucția tehnică estimează că atacatorul a extras personal aproximativ 1,65 milioane de dolari, incluzând tokenurile încă deținute on-chain, în timp ce o parte mult mai mare din scăderea valorii pool-urilor a venit din arbitraj și din prăbușirea prețului CACAO. Diferența este relevantă: impactul total asupra pool-urilor MAYAChain nu poate fi tratat drept "sumă furată". Analiza estimează că valoarea pool-urilor a scăzut cu aproximativ 10,9 milioane de dolari în timpul evenimentului; circa 6,4 milioane de dolari reflectă deprecierea CACAO, iar aproximativ 2,9 milioane de dolari provin din arbitrajul dezechilibrului de preț. MAYAChain a transmis că speră ca atacatorul să returneze fondurile în schimbul unui bug bounty. Echipa a mai spus că va încerca să înlocuiască aproximativ 20 BTC prin investiții în Aztec Chain și prin alte metode dacă fondurile nu sunt returnate. Remedierea software-ului nu reface automat pool-urile: o parte semnificativă din CACAO creat prin exploit a fost schimbată în alte piețe MAYAChain și este acum amestecată cu tokenurile furnizorilor obișnuiți de lichiditate.