Maya Protocol: Atak hakerski wykorzystujący 6 luk w zabezpieczeniach spowodował straty w wysokości 17 miliardów wonów i doprowadził do przerwy w działaniu sieci

Sieć płynności oparta na łańcuchach krzyżowych, Maya Protocol, padła ofiarą dużej cyberataku, w którym wykorzystano jednocześnie sześć luk w oprogramowaniu. W wyniku ataku skradziono kryptowaluty o wartości około 1,65 miliona dolarów, a działanie sieci MAYAChain zostało całkowicie wstrzymane. Założyciel, AaluxxMyth (zwany dalej Maya), w swoim poście na platformie X (dawniej Twitter) przyznał: "Nie ma sposobu, aby to w jakikolwiek sposób złagodzić. Prawdopodobnie skradziono około 20 BTC (1,4 miliona dolarów) oraz inne aktywa o wartości około 300 tysięcy dolarów.". Zgodnie z raportem analizy po incydencie, opublikowanym przez zespół, atakujący przeprowadzili cały proces ataku za pomocą pojedynczej transakcji typu MsgDeposit, składającej się z 23 wiadomości. Konkretnie, wykorzystano fałszywą logikę wykrywania "kradzieży", aby sztucznie zwiększyć saldo CACAO w puli o niskiej płynności do 4,945 miliona tokenów, poprzez nieograniczone dotacje. Następnie, atakujący uczestniczyli w tej powiększonej puli jako dostawcy płynności (LP), zdobywając 99,93% udziałów, a następnie natychmiast wycofali 4,887 miliona tokenów CACAO. W wyniku kradzieży CACAO przez atakujących i późniejszej wymiany go na Bitcoin i inne kryptowaluty, cena CACAO spadła o około 89%, co spowodowało spadek wartości całego puli płynności w sieci MAYAChain o około 1,09 miliona dolarów. Szacuje się, że ostateczna wartość strat wynosi około 1,65 miliona dolarów, z czego 1,36 miliona dolarów (w tym 20,83 BTC) zostało przeniesionych do zewnętrznych łańcuchów blokowych, a pozostała kwota, wynosząca około 291 000 dolarów, pozostała w łańcuchu blokowym. Zespół poinformował, że pomimo audytów przeprowadzonych przez firmy Halborn i Fable 5, sześć zidentyfikowanych błędów nie zostało wykrytych przez okres 3 do 4 lat. Maya stwierdziła, że "należy zastosować bardziej agresywne podejście, aby wykryć nawet najbardziej podstawowe elementy kodu" i zapowiedziała wzmocnienie całego systemu przeglądu kodu. Zespół dodał również, że na razie nie udało się ustalić, czy do ataku wykorzystano sztuczną inteligencję. Protokół Maya zaapelował o zwrot środków, zobowiązując się jednocześnie do ujawnienia adresów Bitcoin należących do atakującego oraz do wypłacenia nagrody za znalezienie błędów. W przypadku braku zwrotu, zespół planuje samodzielnie pozyskać około 20 BTC, wykorzystując inwestycje w sieć Aztec oraz inne środki, aby zrekompensować straty poniesione przez dotknięte pulę płynności. Niniejszy incydent jest jednym z wielu niedawnych poważnych ataków na platformy DeFi. W kwietniu, w wyniku ataku socjotechnicznego na most międzyłańcuchowy KelpDAO, wyciekło około 292 milionów dolarów. W lipcu, giełda perpetualna Ostium, działająca na platformie Arbitrum, poniosła straty w wysokości około 18 milionów dolarów w wyniku kradzieży klucza podpisu oracle. Wcześniej, w AFX Trade, również doszło do wycieku około 24 milionów dolarów w wyniku ataku na most USDC.