El desplome de liquidez de 11 millones de dólares en Maya Protocol sigue sin resolverse: el atacante mantiene 20,83 BTC

La dirección de Bitcoin vinculada al exploit de Maya Protocol del 18 de agosto seguía reteniendo alrededor de 20,8273 BTC el 21 de agosto, sin registrar salidas, mientras el proyecto aún no había publicado un plan de recuperación que abordara el impacto, mucho mayor, estimado en los pools de este protocolo de liquidez crosschain. Los datos públicos de Bitcoin reflejaban 20,82731228 BTC recibidos, 0 BTC gastados, 11 transacciones confirmadas y ninguna pendiente en la mempool. Diez depósitos iniciales por un total de 20,82730682 BTC llegaron a las 17:32:18 UTC del 18 de agosto; más tarde, una operación de 546 satoshis elevó ligeramente el saldo. A precios actuales de Bitcoin, el balance equivalía a unos 1,59 millones de dólares. El fundador de Maya Protocol, Aaluxx, señaló inicialmente que la red probablemente había perdido unos 20 BTC (aproximadamente 1,4 millones de dólares en ese momento), además de unos 300.000 dólares en otros activos. También indicó que trabajaría para corregir el incidente y recuperar el total. Por qué reponer 20 BTC no repararía los pools Una reconstrucción técnica de SigIntZero atribuyó el ataque a seis fallos de contabilidad y gestión de estado, encadenados dentro de una única transacción de 23 mensajes. Según ese análisis, un estado de salida sobrescrito generó una falsa señal de transferencia faltante, lo que activó una ruta de compensación que acreditó cerca de 49,45 millones de CACAO a un pool ARB.LINK con poca liquidez, pese a que la reserva de Maya solo disponía de unos 168.000 CACAO. La transferencia desde la reserva falló, pero el saldo inflado permaneció. Tras añadir liquidez de forma marginal, el atacante obtuvo alrededor del 99,93% de las unidades de propiedad del pool y retiró aproximadamente 48,87 millones de CACAO, que después intercambió por activos mantenidos por otros pools de MAYAChain. SigIntZero estimó que cerca de 1,36 millones de dólares en activos se movieron a cadenas externas y que alrededor de 291.000 dólares permanecían en MAYAChain, situando el valor bajo control del atacante en torno a 1,65-1,7 millones de dólares. De forma separada, el pool habría sufrido un impacto de 10,9 millones de dólares. Un análisis de CryptoSlate atribuyó aproximadamente 6,4 millones de dólares a la repricing de CACAO y unos 2,9 millones a arbitraje tras la caída del token desde cerca de 0,115 dólares hasta 0,013 dólares, un desplome del 88,7%. Según se ha informado, Maya confía en un retorno vía bug bounty y, si no ocurre, podría intentar reponer alrededor de 20 BTC mediante inversiones en Aztec Chain y otras vías. Incluso si ese Bitcoin se devuelve o se sustituye, solo cubriría una parte del daño. A la hora de publicación, Maya no había detallado qué pérdidas restantes compensaría ni quién asumiría el desfase derivado de la repricing de CACAO y de las operaciones durante la dislocación.