Załamanie płynności Maya Protocol o wartości 11 mln USD wciąż bez rozwiązania; napastnik nadal kontroluje 20,83 BTC

Podejrzewany adres Bitcoin powiązany z exploit"em Maya Protocol z 18 sierpnia nadal utrzymywał ok. 20,8273 BTC i do 21 sierpnia nie odnotowano z niego żadnych wydatków. Jednocześnie w publicznie przedstawionych komunikatach nie pojawił się plan naprawczy odnoszący się do znacznie większej, szacowanej skali szkód w pulach cross-chainowego protokołu płynności. Z publicznych danych sieci Bitcoin wynika, że na adres wpłynęło łącznie 20,82731228 BTC, wydatki wyniosły 0 BTC, a historia obejmuje 11 potwierdzonych transakcji, bez oczekujących w mempoolu. Dziesięć pierwszych wpłat o łącznej wartości 20,82730682 BTC dotarło 18 sierpnia o 17:32:18 UTC. Późniejsza transakcja na 546 satoshi nieznacznie podniosła saldo. Przy dzisiejszej cenie Bitcoina oznacza to ok. 1,59 mln USD. Założyciel Maya Protocol, Aaluxx, początkowo informował, że sieć najpewniej straciła ok. 20 BTC, warte wówczas ok. 1,4 mln USD, oraz ok. 300 tys. USD w innych aktywach. Zapowiedział działania naprawcze i pełne odzyskanie środków. Rekonstrukcja techniczna przygotowana przez SigIntZero przypisała atak sześciu błędom w rozliczaniu i obsłudze stanu, połączonym w jednej transakcji złożonej z 23 wiadomości. Według analizy nadpisany stan "outbound" wygenerował fałszywy sygnał brakującego transferu, uruchamiając ścieżkę kompensacji, która dopisała ok. 49,45 mln CACAO do mało płynnej puli ARB.LINK, mimo że rezerwa Maya dysponowała jedynie ok. 168 tys. CACAO. Transfer z rezerwy nie powiódł się, ale zawyżone saldo pozostało. Po dodaniu znikomej płynności napastnik uzyskał ok. 99,93% jednostek własności puli i wypłacił ok. 48,87 mln CACAO, a następnie wymienił je na aktywa utrzymywane w innych pulach MAYAChain. SigIntZero oszacował, że ok. 1,36 mln USD w aktywach zostało przeniesione na zewnętrzne łańcuchy, a ok. 291 tys. USD pozostało na MAYAChain. Łączna wartość kontrolowana przez napastnika miała wynieść ok. 1,65–1,7 mln USD. Niezależnie od tego pula odczuła skutki sięgające 10,9 mln USD. Analiza CryptoSlate przypisała ok. 6,4 mln USD przeszacowaniu CACAO oraz ok. 2,9 mln USD arbitrażowi po tym, jak token spadł z ok. 0,115 USD do 0,013 USD, co oznacza zniżkę o 88,7%. Maya ma liczyć na zwrot w ramach bug bounty, a w razie niepowodzenia rozważać odtworzenie ok. 20 BTC poprzez inwestycje w Aztec Chain i inne źródła. Nawet gdyby Bitcoin został zwrócony lub zastąpiony, pokryłoby to tylko część strat. Na moment publikacji Maya nie wskazała publicznie, które pozostałe straty zamierza zrekompensować ani kto miałby ponieść lukę wynikającą z przeszacowania CACAO i transakcji przeprowadzonych w okresie rynkowej dezlokacji.