Maya Protocol visé par un exploit : près de 1,7 M$ en BTC et autres actifs dérobés, la valeur des pools chute d'environ 11 M$

Le protocole de liquidité cross-chain Maya Protocol a suspendu son réseau MAYAChain après une série de bugs logiciels ayant créé un solde artificiel dans l'un de ses pools. L'anomalie a permis à un attaquant de siphonner l'équivalent de près de 1,7 million de dollars en bitcoin (BTC 64'16'177,56 $) et autres actifs, avec des effets en chaîne qui ont porté les pertes totales à environ 11 millions de dollars. Le fondateur, @AaluxxMyth, a indiqué sur X que l'attaque a permis de détourner 20 BTC (environ 1,4 million de dollars) ainsi qu'environ 300'000 dollars d'autres actifs. Les échanges ont été stoppés afin de limiter les dégâts, et l'équipe travaille à un correctif avant la reprise des swaps. "Sad news Will work to fix and recover in full. We carry on." MAYAChain est un réseau de swap cross-chain de taille plus modeste, destiné à permettre l'échange d'actifs comme le bitcoin et l'ether sans passer par une plateforme centralisée, au sein de l'écosystème Maya. Les traders y échangent contre des pools de crypto déposés sur le réseau, le jeton CACAO servant d'actif pivot entre les marchés. Une reconstitution technique de l'attaque conclut à l'enchaînement de six bugs. Le point de départ : MAYAChain a considéré à tort qu'une transaction sortante avait disparu, déclenchant un mécanisme censé compenser un pool de liquidité après un vol. Ce mécanisme a mal calculé la compensation et a crédité environ 49 millions de CACAO à un petit pool, alors que la réserve de MAYAChain ne détenait qu'environ 168'000 CACAO et ne pouvait pas financer ce paiement. Le transfert a échoué, mais un autre bug a fait que le nouveau solde avait déjà été enregistré. Au lieu d'annuler la modification après l'échec, le réseau a continué à fonctionner comme si le pool contenait réellement ces jetons. L'attaquant a alors déposé un montant minime dans ce pool faussé et s'est retrouvé à en détenir plus de 99%. Il a immédiatement retiré 48,87 millions de CACAO, puis a commencé à les échanger contre du bitcoin, de l'ether et d'autres actifs présents dans les pools de MAYAChain. Les données on-chain montrent que 20,83 BTC (environ 1,34 million de dollars) ont été envoyés vers l'adresse bitcoin de l'attaquant. L'analyse estime que des actifs pour environ 1,36 million de dollars ont été transférés vers des blockchains externes, tandis que 8,87 millions de CACAO restaient dans le wallet MAYAChain de l'attaquant. Le CACAO s'est effondré sous l'effet des ventes dans le réseau : autour de 0,115 $ avant l'exploit, il est tombé jusqu'à 0,013 $, soit près de 89% de baisse, avant de remonter vers 0,03 $. La chute a amplifié les dégâts au-delà des fonds directement dérobés. À mesure que le CACAO plongeait, des arbitragistes ont acheté le jeton devenu très bon marché et l'ont échangé contre du bitcoin, de l'ether, des stablecoins et d'autres actifs dans les pools de MAYAChain. La reconstitution technique estime que l'attaquant a personnellement extrait environ 1,65 million de dollars, en incluant les jetons encore détenus on-chain. La baisse beaucoup plus importante de la valeur des pools provient en grande partie de l'arbitrage et de l'effondrement du prix du CACAO. Cette distinction est jugée cruciale : l'impact total sur les pools de MAYAChain ne peut pas être assimilé au seul montant volé. Selon l'analyse, la valeur des pools a reculé d'environ 10,9 millions de dollars pendant l'épisode, dont près de 6,4 millions liés à la dépréciation du CACAO et environ 2,9 millions dus à l'arbitrage de la dislocation de prix. MAYAChain dit espérer que l'attaquant rendra les fonds en échange d'un bug bounty. L'équipe affirme aussi qu'elle chercherait à remplacer les quelque 20 BTC, via des investissements dans Aztec Chain et d'autres moyens, si les fonds ne sont pas restitués. Enfin, corriger le logiciel ne suffit pas à reconstituer les pools : une partie du CACAO créé via l'exploit a été swapée vers d'autres marchés MAYAChain et se trouve désormais mêlée aux jetons d'apporteurs de liquidité ordinaires.