Sự cố thanh khoản 11 triệu USD của Maya Protocol chưa có lối ra khi kẻ tấn công vẫn giữ 20,83 BTC

Địa chỉ Bitcoin bị nghi liên quan vụ khai thác lỗ hổng Maya Protocol ngày 18/8 đến 21/8 vẫn giữ khoảng 20,8273 BTC và không ghi nhận giao dịch chuyển đi. Trong khi đó, phía dự án chưa công bố kế hoạch khôi phục nào phản ánh đầy đủ mức độ thiệt hại lớn hơn ước tính trên các pool của giao thức thanh khoản cross-chain này. Dữ liệu công khai trên mạng Bitcoin cho thấy ví trên đã nhận tổng cộng 20,82731228 BTC, chi ra 0 BTC, có 11 giao dịch đã xác nhận và không có giao dịch chờ trong mempool. Mười khoản nạp ban đầu với tổng 20,82730682 BTC được ghi nhận lúc 17:32:18 UTC ngày 18/8; sau đó một giao dịch 546 satoshi khiến tổng số tăng nhẹ. Theo giá Bitcoin hiện tại, số dư này tương đương khoảng 1,59 triệu USD. Nhà sáng lập Maya Protocol, Aaluxx, trước đó cho biết mạng lưới nhiều khả năng đã mất khoảng 20 BTC (khoảng 1,4 triệu USD tại thời điểm đó), cộng thêm gần 300.000 USD ở các tài sản khác. Ông nói sẽ khắc phục sự cố và nỗ lực bồi hoàn đầy đủ. Vì sao hoàn trả 20 BTC vẫn chưa thể "lấp lỗ" cho các pool Theo bản tái dựng kỹ thuật của SigIntZero, vụ tấn công xuất phát từ 6 lỗi liên quan đến kế toán và xử lý trạng thái, được xâu chuỗi trong một giao dịch gồm 23 thông điệp. Báo cáo cho rằng trạng thái outbound bị ghi đè đã tạo ra tín hiệu "thiếu chuyển khoản" giả, kích hoạt cơ chế bù trừ và ghi có khoảng 49,45 triệu CACAO vào một pool ARB.LINK có thanh khoản mỏng, dù dự trữ của Maya chỉ có khoảng 168.000 CACAO. Lệnh chuyển dự trữ thất bại, nhưng số dư bị thổi phồng vẫn tồn tại. Sau khi thêm lượng thanh khoản không đáng kể, kẻ tấn công nắm khoảng 99,93% đơn vị sở hữu của pool và rút khoảng 48,87 triệu CACAO, rồi hoán đổi sang các tài sản đang nằm trong những pool MAYAChain khác. SigIntZero ước tính khoảng 1,36 triệu USD tài sản đã được đưa ra các chain bên ngoài, khoảng 291.000 USD còn nằm trên MAYAChain, đưa tổng giá trị do kẻ tấn công kiểm soát lên khoảng 1,65"1,7 triệu USD. Song song đó, chính pool cũng chịu tác động ước khoảng 10,9 triệu USD. Phân tích của CryptoSlate quy phần lớn thiệt hại cho việc CACAO bị định giá lại (khoảng 6,4 triệu USD) và hoạt động arbitrage (khoảng 2,9 triệu USD) sau khi token giảm từ khoảng 0,115 USD xuống 0,013 USD, tương đương mức giảm 88,7%. Maya được cho là kỳ vọng kẻ tấn công sẽ hoàn trả theo cơ chế bug bounty; nếu không, dự án có thể tìm cách bù lại khoảng 20 BTC thông qua các khoản đầu tư vào Aztec Chain và các nguồn khác. Dù số Bitcoin này được trả lại hoặc được thay thế, đó mới chỉ là một phần của thiệt hại. Tính đến thời điểm đưa tin, Maya vẫn chưa nêu rõ sẽ bồi hoàn những phần tổn thất còn lại như thế nào, hoặc ai sẽ gánh khoản chênh lệch phát sinh từ việc CACAO bị định giá lại và các giao dịch trong giai đoạn biến động.