Експлойт у Maya Protocol вивів активи на $1,7 млн у BTC та інших токенах, вартість пулів просіла на $11 млн

Кросчейн-протокол ліквідності Maya Protocol призупинив роботу мережі MAYAChain після серії програмних збоїв, які сформували "фальшивий" баланс в одному з пулів ліквідності. Це дало змогу зловмиснику вивести майже $1,7 млн у біткоїні та інших активах, а подальші наслідки інциденту призвели до сукупного просідання вартості пулів приблизно на $11 млн. Засновник проєкту @AaluxxMyth повідомив у X, що експлойт зачепив 20 BTC (орієнтовно $1,4 млн) і ще близько $300 тис. в інших активах. Команда зупинила торги, щоб локалізувати збитки, і заявила, що відновить свопи після впровадження виправлення. MAYAChain — відносно невелика мережа для кросчейн-обміну, яка дозволяє свопити, зокрема, bitcoin і ether без використання централізованої біржі. В екосистемі Maya обміни відбуваються проти пулів криптоактивів, внесених у мережу, а токен CACAO виконує роль спільного активу, що з'єднує ринки. Технічна реконструкція атаки вказує на комбінацію шести багів. Ланцюжок подій стартував із того, що MAYAChain помилково "вирішив", ніби вихідна транзакція зникла, і запустив код компенсації пулу ліквідності (механізм, розрахований на відновлення після крадіжки). Розрахунок компенсації виявився некоректним: до невеликого пулу було додано близько 49 млн CACAO, хоча резерв мережі містив лише приблизно 168 тис. CACAO і не міг профінансувати таку виплату. Переказ не пройшов, але через інший баг новий баланс уже був збережений у записах мережі. Замість відкату зміни після збою платежу MAYAChain продовжив працювати так, ніби пул справді отримав додаткові токени. Після цього атакувальник вніс мізерну суму в спотворений пул і отримав контроль над понад 99% його частки. Далі він вивів 48,87 млн CACAO та почав обмінювати їх на bitcoin, ether і інші активи, що перебували в пулах MAYAChain. Ончейн-дані свідчать, що на біткоїн-адресу зловмисника було відправлено 20,83 BTC, які оцінювалися приблизно в $1,34 млн. Аналіз підтвердив, що активи, виведені на зовнішні блокчейни, становили близько $1,36 млн, ще 8,87 млн CACAO залишалися в гаманці атакувальника в мережі MAYAChain. Під час розпродажу в мережі CACAO різко обвалився. До інциденту токен торгувався біля $0,115, у мінімумі падав до $0,013 (падіння майже на 89%), після чого відновився до близько $0,03. Просідання CACAO спричинило збитки, що виходили за межі активів, які напряму забрав зловмисник. На тлі падіння арбітражні трейдери скуповували різко здешевілий CACAO і обмінювали його на bitcoin, ether, стейблкоїни та інші активи з пулів MAYAChain. Реконструкція оцінює, що сам атакувальник вилучив приблизно $1,65 млн (включно з токенами, які ще залишалися ончейн), тоді як значно більший спад вартості пулів був пов'язаний з арбітражем і колапсом ціни CACAO. Це важливо, оскільки сукупний удар по пулах MAYAChain не можна ототожнювати з сумою крадіжки. За оцінкою аналізу, вартість пулів під час події знизилася приблизно на $10,9 млн: близько $6,4 млн пояснюється падінням ціни CACAO, ще приблизно $2,9 млн — арбітражем на ціновій дислокації. MAYAChain заявив, що сподівається на повернення коштів у межах угоди про bug bounty. Команда також повідомила, що у разі неповернення активів планує замістити приблизно 20 BTC через інвестиції в Aztec Chain та інші механізми. У проєкті наголосили: саме виправлення софту не відновлює пули автоматично. Значна частина CACAO, створеного через експлойт, була обміняна на інших ринках MAYAChain і тепер змішана з токенами звичайних постачальників ліквідності.