Hacking del protocollo Maya in corso da 3 giorni, gli attaccanti detengono ancora 20,83 BTC

Il protocollo Maya è stato oggetto di un attacco hacker il 18 agosto, mirato al protocollo di liquidità cross-chain. Al 21 agosto, tre giorni dopo l'attacco, l'indirizzo Bitcoin sospettato di essere utilizzato dagli attaccanti deteneva ancora 20,8273 BTC, senza alcuna transazione di prelievo. Secondo i dati on-chain di Bitcoin resi pubblici, tale indirizzo ha ricevuto 20,82730682 BTC attraverso 10 transazioni iniziali, avvenute il 18 agosto alle 17:32:18 (UTC). Successivamente, sono state aggiunte 546 transazioni di piccolo valore (satoshi), portando il totale delle transazioni confermate a 11. Al prezzo attuale di Bitcoin, il saldo di tale indirizzo ammonta a circa 1,59 milioni di dollari. L'analista on-chain SigIntZero ha spiegato che, attraverso una riorganizzazione tecnica, l'attacco ha sfruttato sei difetti correlati alla contabilità e alla gestione dello stato, tutti contenuti in un'unica transazione composta da 23 messaggi. L'attaccante ha generato un falso segnale di mancata trasmissione tramite la sovrascrittura di uno stato di uscita, attivando così il percorso di ricompensa. Nonostante nel pool di riserve di MAYAChain fossero presenti solo circa 168.000 CACAO, nel pool ARB.LINK sono stati depositati circa 49,45 milioni di CACAO. Sebbene il trasferimento delle riserve sia fallito, il saldo gonfiato è rimasto invariato. Successivamente, dopo aver aggiunto una piccola quantità di liquidità, l'attaccante ha acquisito circa il 99,93% delle quote di proprietà del pool, prelevando circa 48,87 milioni di CACAO e scambiandoli con asset detenuti da un altro pool di MAYAChain. Secondo le stime di SigIntZero, beni per un valore di circa 1,36 milioni di dollari sono stati trasferiti a wallet esterni, mentre circa 291.000 dollari sono rimasti all'interno della rete MAYAChain. Si stima che il valore totale dei beni controllati direttamente dall'attaccante sia di circa 1,65-1,7 milioni di dollari. Separatamente, le perdite totali per l'intero sistema sono state analizzate in circa 10,9 milioni di dollari. Secondo l'analisi di CryptoSlate, di questi, circa 6,4 milioni di dollari sono dovuti alla ricalibrazione di CACAO, mentre circa 2,9 milioni di dollari sono derivanti da operazioni di arbitraggio avvenute durante il crollo del prezzo del token, che è passato da circa 0,115 dollari a 0,013 dollari, con una diminuzione dell'88,7%. Il fondatore del protocollo Maya, Aaluxx, ha dichiarato di aver inizialmente perso circa 20 BTC e altri asset per un valore di circa 300.000 dollari, e che farà tutto il possibile per recuperare l'intero importo. Da parte di Maya, si spera in una restituzione volontaria tramite un programma di "bug bounty", e in caso di fallimento, si sta valutando la possibilità di sostituire i 20 BTC persi attraverso investimenti nella catena Aztec, tra le altre opzioni. Tuttavia, anche qualora i Bitcoin venissero restituiti o sostituiti, si tratterebbe solo di una parte delle perdite totali. Al momento della stesura di questo articolo, Maya non ha ancora reso pubblici piani ufficiali riguardanti il ledger completo, le condizioni di ricompensa e chi si farà carico delle perdite derivanti dalle transazioni avvenute durante il periodo di riprezzamento di CACAO e la conseguente confusione sui prezzi.