Colapso de liquidez de US$ 11 milhões na Maya Protocol segue sem solução; suspeito ainda detém 20,83 BTC

O endereço de Bitcoin apontado como ligado ao ataque à Maya Protocol em 18 de agosto continuava com cerca de 20,8273 BTC e sem qualquer gasto de saída até 21 de agosto. Também não havia, até o momento, um plano de recuperação publicado que contemplasse o impacto bem maior estimado para os pools do protocolo de liquidez crosschain. Dados públicos da rede Bitcoin indicavam 20,82731228 BTC recebidos, zero BTC enviados, 11 transações confirmadas e nenhuma pendente no mempool. Dez depósitos iniciais, somando 20,82730682 BTC, chegaram às 17:32:18 UTC de 18 de agosto; depois, uma transação adicional de 546 satoshis elevou ligeiramente o total. Aos preços atuais do Bitcoin, o saldo era estimado em aproximadamente US$ 1,59 milhão. O fundador da Maya Protocol, Aaluxx, havia declarado inicialmente que a rede provavelmente perdera cerca de 20 BTC, avaliados em torno de US$ 1,4 milhão na ocasião, além de aproximadamente US$ 300 mil em outros ativos. Ele afirmou que trabalharia para corrigir o incidente e recuperar integralmente os valores. Por que repor 20 BTC não recomporia os pools Uma reconstrução técnica feita por SigIntZero atribuiu o exploit a seis falhas de contabilidade e de tratamento de estado encadeadas em uma única transação com 23 mensagens. Segundo o relatório, um estado de saída sobrescrito gerou um sinal falso de "transferência ausente" e acionou um mecanismo de compensação que creditou cerca de 49,45 milhões de CACAO a um pool ARB.LINK com baixa liquidez, apesar de a reserva da Maya ter apenas cerca de 168 mil CACAO. A transferência a partir da reserva falhou, mas o saldo inflado permaneceu. Após adicionar liquidez quase irrelevante, o atacante teria recebido aproximadamente 99,93% das unidades de propriedade do pool e retirado cerca de 48,87 milhões de CACAO, convertendo em seguida para ativos mantidos por outros pools da MAYAChain. A estimativa do SigIntZero aponta que cerca de US$ 1,36 milhão em ativos foi movido para outras redes e aproximadamente US$ 291 mil permaneceu na MAYAChain, colocando o valor sob controle do atacante perto de US$ 1,65 milhão a US$ 1,7 milhão. Separadamente, o pool teria sido afetado por um impacto de US$ 10,9 milhões. Uma análise da CryptoSlate atribuiu cerca de US$ 6,4 milhões desse dano à reprecificação do CACAO e cerca de US$ 2,9 milhões à arbitragem após o token recuar de aproximadamente US$ 0,115 para US$ 0,013, uma queda de 88,7%. Segundo relatos, a Maya espera por uma devolução via bug bounty e, caso isso não ocorra, pode buscar repor cerca de 20 BTC por meio de investimentos na Aztec Chain e outras alternativas. Ainda que esse Bitcoin seja devolvido ou substituído, isso cobriria apenas uma parte do prejuízo. Até o fechamento, a Maya não havia definido publicamente quais perdas remanescentes seriam ressarcidas nem quem absorveria a diferença criada pela reprecificação do CACAO e pelas negociações durante a desorganização do mercado.