Maya Protocol: 170 millioner kroner tapt og nettverksstans på grunn av utnyttelse av 6 feil i systemet

Maya Protocol, et nettverk for likviditet som bruker krysskjede-teknologi, har blitt utsatt for et omfattende hackingangrep der seks programvarefeil ble utnyttet samtidig. Angrepet resulterte i at kryptovaluta for omtrent 1,65 millioner dollar ble stjålet, og hele driften av MAYAChain-nettverket er blitt midlertidig stanset. Grunnleggeren, AaluxxMyth (heretter referert til som Maya), erkjente hendelsen direkte i et innlegg på X (tidligere Twitter) og skrev: "Det finnes ingen måte å pynte på dette. Det er sannsynlig at omtrent 20 BTC (1,4 millioner dollar) og andre aktiva (omtrent 300 000 dollar) er blitt stjålet.". I henhold til den etteranalyserapporten som teamet publiserte, gjennomførte angriperen hele angrepet ved hjelp av en enkelt MsgDeposit-transaksjon som besto av 23 meldinger. Mer spesifikt utløste angriperen en falsk "tyveri"-deteksjonsmekanisme, og brukte dermed ubegrensede slashing-subsidier til å kunstig øke CACAO-saldoen i en pool med lav likviditet til 4,945 millioner. Deretter deltok angriperen i den oppblåste poolen som en LP (Liquidity Provider), sikret seg en andel på 99,93 %, og trakk umiddelbart ut 4,887 millioner CACAO. Angriperen stjal CACAO-tokens og forsøkte å bytte dem til Bitcoin og andre kryptovalutaer. Som et resultat falt prisen på CACAO med omtrent 89%, noe som førte til at den totale verdien av likviditetspoolen i MAYAChain sank med omtrent 1,09 millioner dollar. Det estimerte totale tapet er omtrent 1,65 millioner dollar. Av dette beløpet ble 1,36 millioner dollar (inkludert 20,83 BTC) overført til eksterne blokkjeder, mens omtrent 291 000 dollar fortsatt er tilgjengelig i blokkjeden. Teamet opplyste at de seks feilene ikke ble oppdaget i løpet av 3 til 4 år, til tross for at de hadde blitt gjennomgått av sikkerhetsrevisjonsselskapet Halborn og av Fable 5. Maya sa at de måtte "ta en mer aggressiv tilnærming for å identifisere ekstremt enkle kodeelementer" og at de ville styrke hele systemet for kodekontroll. Teamet la også til at de foreløpig ikke har funnet ut om kunstig intelligens ble brukt i angrepet. Maya Protocol oppfordret til tilbakebetaling av midler, og tilbød samtidig en bug bounty og offentliggjøring av angriperens Bitcoin-adresse. Dersom tilbakebetalingen ikke skjer, planlegger teamet å selv finansiere omtrent 20 BTC gjennom investeringer i Aztec Chain og andre metoder, for å kompensere for tapene i de berørte likviditetspoolene. Denne hendelsen er en av de mange store sikkerhetsbruddene i DeFi-sektoren som har oppstått nylig. I april ble omtrent 292 millioner dollar stjålet fra KelpDAO sin cross-chain bridge gjennom et sosial manipulasjonsangrep, og i juli ble omtrent 18 millioner dollar stjålet fra den Arbitrum-baserte futuresbørsen Ostium, etter at en orakel-signaturnøkkel ble kompromittert. I tillegg har AFX Trade også blitt rammet av et angrep rettet mot deres USDC-bro, hvor omtrent 24 millioner dollar ble stjålet.