Взлом Maya Protocol: похищено активов на $1,7 млн, стоимость пулов снизилась примерно на $11 млн

Кроссчейн-протокол ликвидности Maya Protocol приостановил работу сети MAYAChain после того, как серия программных ошибок сформировала фиктивный баланс в одном из пулов и позволила злоумышленнику вывести почти $1,7 млн в биткоине BTC $ 64,177.56 и других активах. Сопутствующие последствия привели к общему снижению стоимости пулов примерно на $11 млн. Основатель проекта @AaluxxMyth сообщил в X, что атакующий вывел 20 BTC (около $1,4 млн) и еще порядка $300 тыс. в других активах. Торги остановили, чтобы ограничить ущерб; команда готовит исправление до возобновления свопов. "Печальные новости. Будем работать над исправлением и полным восстановлением. Мы продолжаем", — написал он. MAYAChain — сравнительно небольшая кроссчейн-сеть для обмена активами вроде биткоина и эфира без отправки средств через централизованную биржу; она входит в экосистему Maya. Обмены идут против пулов с внесенной в сеть криптовалютой, а токен CACAO используется как общий связующий актив между рынками. Техническая реконструкция атаки указала на сочетание шести багов. Цепочка событий началась с того, что MAYAChain ошибочно посчитал исходящую транзакцию "потерянной" и запустил код, предназначенный для компенсации пулу ликвидности после кражи. Механизм безопасности неверно рассчитал выплату: в небольшой пул было "добавлено" около 49 млн CACAO, хотя в резерве MAYAChain находилось лишь примерно 168 тыс. CACAO, и профинансировать такую компенсацию система не могла. Перевод не прошел, но из‑за другой ошибки новый баланс уже сохранился в записях сети. Вместо отката при неудачном платеже MAYAChain продолжил работу так, как будто пул действительно получил дополнительные токены. После этого атакующий внес в искаженный пул минимальную сумму и получил контроль более чем над 99% пула, затем сразу вывел 48,87 млн CACAO и начал обменивать их на биткоин, эфир и другие активы, находившиеся в пулах MAYAChain. Ончейн-данные показывают, что на биткоин-адрес злоумышленника было отправлено 20,83 BTC стоимостью около $1,34 млн. Анализ подтвердил вывод активов на внешние блокчейны примерно на $1,36 млн; еще 8,87 млн CACAO оставались в кошельке атакующего в сети MAYAChain. На фоне распродажи токен CACAO резко обвалился: до эксплойта он торговался около $0,115, затем падал до $0,013 (почти минус 89%), после чего восстановился примерно до $0,03. Падение CACAO нанесло ущерб, выходящий за рамки напрямую похищенных средств. По мере снижения цены арбитражные трейдеры покупали резко подешевевший CACAO и обменивали его на биткоин, эфир, стейблкоины и другие активы в пулах MAYAChain. Реконструкция оценила, что сам атакующий извлек около $1,65 млн (включая токены, оставшиеся ончейн), тогда как более заметное сокращение стоимости пулов было связано с арбитражем и обвалом цены CACAO. Этот нюанс важен: общий удар по пулам MAYAChain нельзя приравнивать к сумме, украденной злоумышленником. По оценке анализа, в ходе инцидента стоимость пулов снизилась примерно на $10,9 млн. Из них около $6,4 млн пришлось на удешевление CACAO, еще примерно $2,9 млн — на арбитраж, вызванный ценовым перекосом. MAYAChain заявила, что рассчитывает на возврат средств в обмен на вознаграждение за найденную уязвимость. Команда также отметила, что в случае невозврата будет искать способы восполнить примерно 20 BTC за счет инвестиций в Aztec Chain и других источников. При этом одно лишь исправление кода не восстанавливает пулы автоматически: значительная часть CACAO, созданного в результате эксплойта, была обменена на другие активы в рынках MAYAChain и теперь смешана с токенами обычных провайдеров ликвидности.