Maya Protocolの流動性損失約1,100万ドル、なお未解決──攻撃者側アドレスに20.83BTC残高

Maya Protocolで8月18日に発生した攻撃に関連するとみられるビットコインアドレスは、8月21日時点でも約20.8273BTCを保有したままで、外部への送金は確認されていない。復旧策についても、クロスチェーン流動性プロトコルの各プールに波及したとされるより大きな影響額を織り込んだ公表内容は見当たらない。 公開されているビットコインのデータによると、当該アドレスは20.82731228BTCを受け取り、支出は0。確認済みトランザクションは11件で、メモリプール待ちはない。8月18日17:32:18（UTC）に合計20.82730682BTCとなる10回の入金があり、その後546サトシの追加で総額がわずかに積み上がった。記事執筆時点のビットコイン価格換算では残高は約159万ドルに相当する。 Maya Protocol創業者のAaluxxは当初、ネットワークの損失は約20BTC（当時約140万ドル）に加え、他資産で約30万ドルにのぼる可能性があると説明し、インシデント修正と全額回復に取り組む意向を示していた。 一方、SigIntZeroによる技術的な再現では、23メッセージで構成される単一トランザクション内で、会計処理とステート処理の不備6点を連鎖させたことが原因とされる。アウトバウンドのステートが上書きされ、送金欠落の誤シグナルが発生。補填ルートが作動して、Mayaのリザーブが約168,000CACAOしか保有していないにもかかわらず、流動性の薄いARB.LINKプールに約4,945万CACAOが付与されたという。リザーブからの送金は失敗したものの、膨らんだ残高は維持された。 攻撃者はごく少額の流動性を追加した後、プール持分ユニットの約99.93%を取得し、約4,887万CACAOを引き出した。さらに他のMAYAChainプールが保有する資産へスワップを実行したとされる。SigIntZeroは、外部チェーンへ移動した資産が約136万ドル、MAYAChain上に残った分が約29.1万ドルで、攻撃者の支配下にある価値は約165万〜170万ドルと推計している。 損害はそれだけにとどまらない。別途、プール全体への影響は約1,090万ドルに達したとされる。CryptoSlateの分析では、CACAOの価格再評価による影響が約640万ドル、トークン急落に伴うアービトラージが約290万ドル。CACAOは約0.115ドルから約0.013ドルへ下落し、下落率は88.7%に及んだ。 Mayaはバグバウンティとしての返還を期待し、難しい場合はAztec Chain投資などを通じて約20BTCの補填を検討していると報じられている。ただし、ビットコインが返還・補填されたとしても、損害の一部を埋めるにとどまる。記事執筆時点でMayaは、残る損失のうち何を補填するのか、またCACAOの再評価や混乱局面の取引によって生じたギャップを誰が負担するのかについて、明確な方針を公表していない。