Protocol Maya: Explotación de 6 vulnerabilidades para un ataque informático que causó pérdidas de 170 millones de wones y provocó la interrupción de la red

La xarxa de liquiditat intercadena Maya Protocol ha estat víctima d'un important atac informàtic en el qual s'han aprofitat simultàniament sis vulnerabilitats de programari, fet que ha provocat el robatori de criptomonedes per valor d'aproximadament 1,65 milions de dòlars i la suspensió total de les operacions de la xarxa MAYAChain. El fundador, AaluxxMyth (conegut com a Maya), va reconèixer directament a través d'un missatge a X (anteriorment Twitter) que "no hi ha manera de minimitzar aquesta situació. És molt probable que s'hagin robat uns 20 BTC (1,4 milions de dòlars) i altres actius per valor d'aproximadament 300.000 dòlars". Segons l'informe d'anàlisi posterior publicat per l'equip, l'atacant va dur a terme tot el procés d'atac mitjançant una única transacció MsgDeposit que consistia en 23 missatges. Concretament, va activar una lògica de detecció de "robatori" falsa, augmentant artificialment el saldo de CACAO del pool de baixa liquiditat fins a 4.945 milions mitjançant subvencions de "slash" il·limitades. Després, va participar com a proveïdor de liquiditat (LP) en el pool inflat, va obtenir una participació del 99,93% i immediatament va retirar 4.887 milions de CACAO. Durant el procés en què l'atacant va intercanviar el CACAO robat per bitcoïns i altres criptomonedes, el preu del CACAO va caure aproximadament un 89%, cosa que va provocar una disminució del valor total del pool de liquiditat de MAYAChain en uns 1,09 milions de dòlars. Es calcula que les pèrdues totals ascendeixen a uns 1,65 milions de dòlars, dels quals 1,36 milions de dòlars (incloent-hi 20,83 BTC) van ser transferits a altres blockchains, mentre que la resta, uns 291.000 dòlars, van quedar registrats a la blockchain original. L'equip ha declarat que els 6 errors detectats no van ser identificats durant 3 o 4 anys, malgrat haver passat per les revisions de seguretat de les empreses Halborn i Fable 5. Maya ha afirmat que "cal adoptar un enfocament més agressiu per detectar primitives de codi extremadament senzilles" i que es reforçarà tot el sistema de revisió de codi. L'equip també ha afegit que encara no ha determinat si la intel·ligència artificial va ser utilitzada en els atacs. El protocol Maya va demanar la restitució dels fons, a condició que es revelés l'adreça de Bitcoin de l'atacant i es proporcionés una recompensa per detectar errors. Si la restitució no es produeix, l'equip va anunciar que té previst finançar amb uns 20 BTC, mitjançant inversions a la cadena Aztec i altres mitjans, per compensar els fons perduts a les piscines de liquiditat afectades. Aquest incident és un dels darrers grans atacs a protocols DeFi. El mes d'abril, un atac d'enginyeria social a la infraestructura de pont entre cadenes de KelpDAO va provocar la pèrdua de 292 milions de dòlars. El juliol, Ostium, una plataforma de comerç perpetu basada en Arbitrum, va patir una pèrdua de 18 milions de dòlars a causa del robatori de la clau de signatura de l'oracle. I recentment, AFX Trade també ha estat víctima d'un atac dirigit al pont USDC, que ha provocat la pèrdua de 24 milions de dòlars.