„Maya Protocol“ sistema buvo pažeista dėl 6 klaidų, kurios buvo išnaudotos įsilaužimui, dėl ko buvo padaryta 17 milijonų wonų žala ir sustojo tinklas

„Cross-chain“ likvidumo tinklas „Maya Protocol“ buvo pažeistas didelio masto įsilaužimo ataka, kurios metu buvo panaudoti 6 programinės įrangos trūkumai, dėl kurios buvo pavogta maždaug 1,65 milijono dolerių vertės kriptovaliutų ir visiškai sustabdytas „MAYAChain“ tinklo veikimas. Įkūrėjas AaluxxMyth (toliau – Maya) savo „X“ (anksčiau „Twitter“) paskyroje rašė: „Nėra jokio būdo šią situaciją pateisinti. Labai tikėtina, kad buvo pavogta apie 20 BTC (1,4 milijono dolerių) ir kiti turtai, kurių vertė yra apie 300 tūkstančių dolerių“. Komandos paskelbtoje išsamių analizės ataskaitoje nurodoma, kad užpuolėjas visą ataką įvykdė per vieną „MsgDeposit“ transakciją, kurią sudarė 23 pranešimai. Konkrečiau, buvo suaktyvintas klaidingas „vagystės“ aptikimo mechanizmas, o per neribotą „slash“ subsidiją dirbtinai padidintas mažo likvidumo fondo „CACAO“ likutis iki 4,945 milijonų vienetų. Vėliau, užpuolėjas prisijungė prie padidinto fondo kaip likvidumo teikėjas, įgijo 99,93 % jo dalies ir iš karto išsiuntė 4,887 milijonus „CACAO“ vienetų. Puolimo metu įsilaužėliai įgijo CACAO kriptovaliutą, kurią vėliau keitė į Bitcoiną ir kitas kriptovaliutas. Dėl to CACAO kaina staigiai nukrito beveik 89%, o viso MAYAChain likvidumo fondo vertė sumažėjo maždaug iki 1,09 milijono dolerių. Iš viso nuostoliai, preliminariai, siekia apie 1,65 milijono dolerių. Iš šios sumos 1,36 milijono dolerių (įskaitant 20,83 BTC) buvo perkelti į kitus blokų tinklus, o likusi suma, maždaug 291 000 dolerių, liko tame pačiame blokų tinkle. Komanda pranešė, kad šie 6 klaidos buvo neaptiktos per 3-4 metus, nors buvo atlikti saugumo audito patikrinimai, kuriuos atliko bendrovės „Halborn“ ir „Fable 5“. „Maya“ teigė, kad reikia taikyti „agresyvesnį požiūrį, kad būtų aptikti itin paprasti kodo elementai“, ir pažadėjo sustiprinti visą kodo apžiūros sistemą. Komanda taip pat nurodė, kad kol kas neaišku, ar atakoms buvo panaudotas dirbtinis intelektas. „Maya Protocol“ pareikalavo grąžinti lėšas, pažadėdama atskleisti užpuolėjo „Bitcoin“ adresą ir išmokėti už klaidas aptikusius asmenis. Jei lėšos nebus grąžintos, komanda ketina pačios surinkti apie 20 BTC investicijų ir kitų lėšų, kad padengtų nuostolius, patirtus likvidumo fondams. Šis incidentas yra vienas iš daugelio neseniai įvykusių didelių DeFi atakų. Kovo mėnesį, KelpDAO tarpblokinio tilto ataka, kuri buvo įvykdyta naudojant socialinę inžineriją, padarė žalą maždaug 292 milijonų dolerių vertės, o liepos mėnesį, „Arbitrum“ platformoje veikianti „Ostium“ birža patyrė apie 18 milijonų dolerių nuostolius dėl orakulo pasirašymo rakto įsilaužimo. Be to, „AFX Trade“ platformoje įvyko ataka prieš USDC tiltą, dėl kurios buvo pavogta apie 24 milijonų dolerių.