Maya Protocol bị khai thác, thất thoát 1,7 triệu USD BTC và tài sản khác; giá trị pool bốc hơi khoảng 11 triệu USD

Maya Protocol, giao thức thanh khoản crosschain, đã tạm dừng mạng MAYAChain sau khi một chuỗi lỗi phần mềm tạo ra số dư "ảo" trong một pool thanh khoản, mở đường cho kẻ tấn công rút gần 1,7 triệu USD bằng bitcoin (BTC) và nhiều tài sản khác. Sự cố kéo theo biến động khiến tổng giá trị các pool sụt giảm khoảng 11 triệu USD. Nhà sáng lập @AaluxxMyth cho biết trên X, kẻ tấn công đã lấy 20 BTC (xấp xỉ 1,4 triệu USD) cùng khoảng 300.000 USD tài sản khác. Dự án đã dừng toàn bộ hoạt động giao dịch để khoanh vùng thiệt hại và đang triển khai bản vá trước khi mở lại các lệnh swap. MAYAChain là một mạng giao dịch crosschain quy mô nhỏ trong hệ sinh thái Maya, cho phép người dùng hoán đổi các tài sản như bitcoin và ether mà không cần chuyển qua sàn tập trung. Giao dịch được thực hiện thông qua các pool crypto gửi vào mạng; token CACAO đóng vai trò tài sản chung kết nối các thị trường. Bản dựng lại kỹ thuật của vụ việc cho thấy có 6 lỗi phải đồng thời xảy ra. Chuỗi sự cố bắt đầu khi MAYAChain nhầm lẫn rằng một giao dịch chuyển ra bị thất lạc, kích hoạt cơ chế bồi hoàn dành cho pool thanh khoản sau các vụ trộm cắp. Cơ chế an toàn này lại tính toán sai, cộng thêm khoảng 49 triệu CACAO vào một pool nhỏ trong khi quỹ dự trữ của MAYAChain chỉ có khoảng 168.000 CACAO, không thể tài trợ khoản bồi hoàn. Giao dịch chuyển thất bại, nhưng một lỗi khác khiến số dư mới đã được lưu vào sổ cái của mạng. Thay vì hoàn tác khi thanh toán không thành, MAYAChain tiếp tục vận hành như thể pool thực sự có thêm số token đó. Kẻ tấn công sau đó nạp một lượng rất nhỏ vào pool bị méo và nắm hơn 99% pool, rồi rút 48,87 triệu CACAO và bắt đầu swap sang bitcoin, ether cùng các tài sản khác trong các pool của MAYAChain. Dữ liệu on-chain cho thấy 20,83 BTC trị giá khoảng 1,34 triệu USD đã được chuyển tới địa chỉ bitcoin của kẻ tấn công. Phân tích xác nhận lượng tài sản đã được đưa ra các blockchain bên ngoài vào khoảng 1,36 triệu USD, trong khi 8,87 triệu CACAO vẫn nằm trong ví MAYAChain của kẻ tấn công. Giá CACAO lao dốc khi kẻ tấn công bán ngay trong mạng. Token này giao dịch quanh 0,115 USD trước khi bị khai thác, có lúc rơi xuống 0,013 USD (giảm gần 89%) rồi hồi về quanh 0,03 USD. Đà giảm giá gây thiệt hại vượt xa phần tài sản bị rút trực tiếp. Khi CACAO sụt mạnh, các nhà giao dịch arbitrage mua token rẻ và đổi lấy bitcoin, ether, stablecoin cùng nhiều tài sản khác trong các pool của MAYAChain. Bản dựng lại kỹ thuật ước tính kẻ tấn công trực tiếp rút khoảng 1,65 triệu USD (tính cả token còn giữ on-chain), trong khi phần sụt giảm giá trị pool lớn hơn chủ yếu đến từ arbitrage và cú sập giá CACAO. Điều này quan trọng vì tổng mức suy giảm của các pool không thể được xem đồng nghĩa với số tiền bị đánh cắp. Phân tích ước tính giá trị pool giảm khoảng 10,9 triệu USD trong sự kiện; trong đó khoảng 6,4 triệu USD phản ánh việc CACAO mất giá và khoảng 2,9 triệu USD đến từ hoạt động arbitrage do lệch giá. MAYAChain cho biết hy vọng kẻ tấn công sẽ hoàn trả tài sản để đổi lấy bug bounty. Nhóm dự án cũng nói sẽ tìm cách bù lại khoảng 20 BTC thông qua các khoản đầu tư vào Aztec Chain và các biện pháp khác nếu tài sản không được trả lại. Dự án nhấn mạnh việc sửa lỗi phần mềm không đồng nghĩa khôi phục ngay các pool, vì phần lớn CACAO được tạo ra trong vụ khai thác đã được swap sang các thị trường khác trong MAYAChain và hiện đã trộn lẫn với token của các nhà cung cấp thanh khoản thông thường.