Trzeci dzień ataku hakerskiego na protokół Maya, a atakujący wciąż posiada 20,83 BTC

Protokół Maya 18 sierpnia padł ofiarą ataku hakerskiego wymierzonego w protokół płynności cross-chain. Trzy dni później, 21 sierpnia, na adresie Bitcoin, który podejrzewa się, że należy do atakującego, nadal znajdowało się 20,8273 BTC, bez żadnych zapisów wypłat. Zgodnie z publicznie dostępnymi danymi on-chain Bitcoin, na tym adresie 18 sierpnia o godzinie 17:32:18 (UTC) wpłynęło 20,82730682 BTC w wyniku 10 początkowych transakcji. Następnie dodano 546 transakcji satoshi, co dało łącznie 11 potwierdzonych transakcji. Przy obecnym kursie Bitcoina, saldo na tym adresie wynosi około 1,59 miliona dolarów. Analityk blockchain SigIntZero wyjaśnił, że atak, przeprowadzony poprzez techniczne manipulacje, wykorzystał sześć powiązanych luk w obszarze księgowości i przetwarzania stanu, które znajdowały się w pojedynczej transakcji składającej się z 23 wiadomości. Atakujący, poprzez nadpisanie stanu wyjściowego, wygenerował fałszywy sygnał o braku transferu, co aktywowało ścieżkę nagród. Mimo, że na koncie rezerwy MAYA znajdowało się zaledwie około 168 000 CACAO, na puli ARB.LINK zgromadziło się około 4,945 miliona CACAO. Sam transfer rezerwy nie powiódł się, ale zawyżony stan konta pozostał. Następnie, po dodaniu niewielkiej ilości płynności, atakujący przejął około 99,93% udziałów w tej puli, wycofując około 4,887 miliona CACAO i wymieniając je na aktywa znajdujące się w innej puli w sieci MAYAChain. Według szacunków firmy SigIntZero, aktywa o wartości około 1,36 miliona dolarów zostały przeniesione do zewnętrznych łańcuchów blokowych, a około 291 000 dolarów pozostało w sieci MAYAChain. Szacuje się, że łączna wartość aktywów kontrolowanych bezpośrednio przez atakującego wynosi około 1,65-1,70 miliona dolarów. Oprócz tego, całkowite straty dla całego ekosystemu wyniosły około 10,9 miliona dolarów. Analiza firmy CryptoSlate wykazała, że z tej kwoty około 6,4 miliona dolarów wynika z ponownej wyceny tokena CACAO, a około 2,9 miliona dolarów to straty wynikające z arbitrażu, gdy cena tokena gwałtownie spadła z około 0,115 dolara do 0,013 dolara, czyli o 88,7%. Założyciel protokołu Maya, Aaluxx, poinformował, że na początku stracił około 20 BTC oraz aktywa o wartości około 300 000 dolarów, i zapewnił, że dołoży wszelkich starań, aby odzyskać całość tych środków. Strona Maya oczekuje dobrowolnego zwrotu środków w formie nagrody za znalezienie błędów, a w przypadku, gdy to się nie uda, rozważa możliwość zastąpienia około 20 BTC poprzez inwestycje w łańcuch Aztec i inne rozwiązania. Niemniej jednak, nawet jeśli te bitcoiny zostaną zwrócone lub zastąpione, będzie to jedynie część całkowitej straty. W momencie publikacji tego artykułu, firma Maya nie opublikowała jeszcze oficjalnego planu, który określałby ostateczny stan księgi głównej, warunki wypłat oraz to, kto poniesie straty wynikające z transakcji dokonanych podczas okresu rekalibracji i zamieszania cenowego związanych z tokenem CACAO.