Maya Protocol: 1,7 milliarder kroner i tab og netværksnedbrud på grund af hacking, der udnyttede 6 fejl

Maya Protocol, et tværkæde-likviditetsnetværk, er blevet udsat for et omfattende hack, hvor seks softwarefejl blev udnyttet samtidigt. Angrebet resulterede i tyveri af kryptovaluta for omkring 1,65 millioner dollars og har ført til en komplet nedlukning af MAYAChain-netværket. Grundlæggeren, AaluxxMyth (herefter Maya), erkendte direkte i et opslag på X (tidligere Twitter), at "der er ingen måde at pynte på dette. Det er sandsynligt, at omkring 20 BTC (1,4 millioner dollars) og andre aktiver (omkring 300.000 dollars) er blevet stjålet.". Ifølge den efterfølgende analyse, der er offentliggjort af teamet, udførte angriberen hele angrebet ved hjælp af en enkelt MsgDeposit-transaktion, der bestod af 23 beskeder. Mere specifikt udløste angriberen en falsk "tyveri"-detektion, hvilket resulterede i en kunstig forøgelse af CACAO-saldoen i en likviditetspulje til 49,45 millioner ved hjælp af ubegrænsede slashing-tilskud. Derefter deltog angriberen i den forstærkede pulje som en LP (Liquidity Provider), opnåede en andel på 99,93% og hævede straks 48,87 millioner CACAO. Angriberen udnyttede CACAO, og i processen med at ombytte CACAO til Bitcoin og andre kryptovalutaer, faldt prisen på CACAO med omkring 89%. Som følge heraf faldt den samlede værdi af MAYAChain's likviditetspulje med omkring 1,09 millioner dollars. Det samlede tab anslås til omkring 1,65 millioner dollars, hvoraf 1,36 millioner dollars (inklusive 20,83 BTC) blev overført til eksterne blockchains, mens de resterende omkring 291.000 dollars forblev i blockchainen. Teamet oplyste, at de seks fejl ikke blev opdaget i løbet af 3-4 år, selvom de var blevet gennemgået af sikkerhedsfirmaet Halborn og af Fable 5. Maya udtalte, at de "skal anvende en mere aggressiv tilgang for at identificere ekstremt simple kodeelementer" og at de vil styrke hele deres kodegennemgangsproces. Teamet tilføjede desuden, at de endnu ikke har fastslået, om kunstig intelligens blev brugt i angrebet. Maya Protocol opfordrede til tilbagebetaling af midler, under betingelse af at angriberens Bitcoin-adresse blev offentliggjort, og et beløb til fejlforsikring blev udbetalt. Hvis tilbagebetalingen ikke sker, har teamet planer om selv at finansiere omkring 20 BTC gennem investeringer i Aztec Chain og andre midler, for at kompensere de berørte likviditetspuljer. Denne hændelse er en af de seneste større sikkerhedsbrud inden for DeFi-området. I april blev der stjålet omkring 292 millioner dollars fra KelpDAO's cross-chain bridge som følge af et social engineering-angreb, og i juli blev omkring 18 millioner dollars stjålet fra den Arbitrum-baserede perpetual exchange Ostium på grund af et angreb, der kompromitterede orakel-signaturnøgler. Derudover blev der i AFX Trade stjålet omkring 24 millioner dollars som følge af et angreb rettet mod USDC-broen.