Maya Protocol : 170 millions de wons de pertes dues à des piratages exploitant 6 vulnérabilités, entraînant une interruption du réseau

Le protocole Maya, un réseau de liquidité interopérable, a été victime d'une cyberattaque massive exploitant simultanément six vulnérabilités logicielles, entraînant le vol de cryptomonnaies d'une valeur d'environ 1,65 million de dollars et la suspension complète des opérations du réseau MAYAChain. Le fondateur, AaluxxMyth (ci-après dénommé Maya), a reconnu directement sur X (anciennement Twitter) : "Il n'y a aucun moyen d'embellir cette situation. Il est probable qu'environ 20 BTC (1,4 million de dollars) et d'autres actifs (environ 300 000 dollars) aient été volés.". Selon le rapport d'analyse post-incident publié par l'équipe, l'attaquant a mené l'ensemble de l'attaque via une seule transaction MsgDeposit, composée de 23 messages. Plus précisément, il a déclenché une fausse logique de détection de "vol", ce qui a permis d'augmenter artificiellement le solde de CACAO du pool à faible liquidité à 4,945 millions grâce à des subventions de slashing illimitées. Par la suite, il a participé au pool gonflé en tant que fournisseur de liquidités (LP), a acquis 99,93 % des parts, puis a immédiatement retiré 4,887 millions de CACAO. Lors du processus d'échange du CACAO volé contre des bitcoins ou d'autres cryptomonnaies, le prix du CACAO a chuté d'environ 89 %, entraînant une diminution de la valeur totale du pool de liquidités de MAYAChain d'environ 1,09 million de dollars. Les pertes totales sont estimées à environ 1,65 million de dollars, dont 1,36 million de dollars (incluant 20,83 BTC) ont été transférés vers d'autres blockchains, tandis que le reste, soit environ 291 000 dollars, est resté sur la blockchain. L'équipe a déclaré que ces 6 vulnérabilités, qui avaient fait l'objet d'audits par les sociétés Halborn et Fable 5, n'avaient pas été détectées pendant 3 à 4 ans. Maya a déclaré : "Nous devons adopter une approche plus agressive pour identifier des éléments de code extrêmement simples" et a annoncé le renforcement de l'ensemble du système de revue de code. L'équipe a également ajouté qu'il n'était pas encore possible de déterminer si l'intelligence artificielle avait été utilisée à des fins malveillantes. Maya Protocol a exigé le remboursement des fonds, en conditionnant cette demande à la divulgation de l'adresse Bitcoin de l'attaquant et à la mise en place d'un programme de récompenses pour la découverte de bugs. Si le remboursement n'est pas effectué, l'équipe a déclaré qu'elle prévoyait de financer elle-même, grâce à des investissements dans la chaîne Aztec et d'autres moyens, environ 20 BTC afin de compenser les pertes subies par les pools de liquidités concernés. Cet incident est l'un des nombreux exploits majeurs de la DeFi qui se sont produits récemment. En avril, une attaque de type "social engineering" sur le pont inter-chaînes de KelpDAO a entraîné la perte de près de 292 millions de dollars. En juillet, la plateforme de trading perpétuel Ostium, basée sur Arbitrum, a subi des pertes d'environ 18 millions de dollars suite au vol d'une clé de signature d'oracle. Plus récemment, AFX Trade a également été victime d'une attaque ciblant son pont USDC, entraînant la perte de près de 24 millions de dollars.