Maya Protocol, exploatarea a 6 vulnerabilități a dus la o breșă de securitate cu pierderi de 1,7 miliarde de won și la întreruperea rețelei

Rețeaua de lichiditate cross-chain Maya Protocol a fost victima unui atac cibernetic masiv, în care au fost exploatate simultan șase vulnerabilități software, rezultând furtul de criptomonede în valoare de aproximativ 1,65 milioane de dolari și suspendarea completă a operațiunilor rețelei MAYAChain. Fondatorul, AaluxxMyth (denumit în continuare Maya), a recunoscut direct, într-o postare pe X (fostul Twitter), că "nu există nicio modalitate de a minimaliza această situație. Este foarte probabil că au fost sustrase aproximativ 20 BTC (1,4 milioane de dolari) și alte active, în valoare de aproximativ 300.000 de dolari.". Conform raportului de analiză post-incident publicat de echipă, atacatorul a realizat întregul proces de atac printr-o singură tranzacție MsgDeposit, formată din 23 de mesaje. Mai precis, a declanșat un mecanism fals de detectare a "furtului", umflând artificial soldul de CACAO al unui pool cu lichiditate scăzută până la 4,945 milioane de unități, prin intermediul unui bonus de slashing fără limită superioară. Ulterior, a participat ca furnizor de lichiditate (LP) în pool-ul umflat, a obținut o participație de 99,93% și a retras imediat 4,887 milioane de CACAO. Atacul a dus la o scădere bruscă de aproximativ 89% a prețului CACAO, în timpul procesului de schimb al acestuia în Bitcoin și alte criptomonede. Ca urmare, valoarea totală a pool-ului de lichiditate al MAYAChain a scăzut cu aproximativ 1,09 milioane de dolari. Se estimează că pierderile totale se ridică la aproximativ 1,65 milioane de dolari, dintre care 1,36 milioane de dolari (inclusiv 20,83 BTC) au fost transferați către alte blockchain-uri, iar restul, aproximativ 291.000 de dolari, au rămas în blockchain-ul original. Echipa a declarat că cele 6 erori au rămas nedetectate timp de 3-4 ani, deși au fost identificate în timpul auditurilor efectuate de companiile de securitate Halborn și Fable 5. Maya a declarat că este necesară o abordare mai agresivă pentru a identifica "primitivele de cod extrem de simple" și că echipa va consolida întregul sistem de revizuire a codului. De asemenea, echipa a adăugat că încă nu a stabilit dacă inteligența artificială a fost utilizată în atac. Protocolul Maya a solicitat returnarea fondurilor, condiționând acest lucru de publicarea adresei Bitcoin a atacatorului și de oferirea unei recompense pentru identificarea vulnerabilităților. În cazul în care fondurile nu sunt returnate, echipa a declarat că intenționează să își procure aproximativ 20 de BTC prin investiții în Aztec Chain și alte mijloace, pentru a compensa pierderile suferite de fondul de lichiditate afectat. Acest incident este unul dintre numeroasele atacuri majore recente asupra platformelor DeFi. În aprilie, aproximativ 29,2 milioane de dolari au fost furați de la un atac de tip "social engineering" asupra punții cross-chain KelpDAO, iar în iulie, platforma de tranzacționare perpetuă Ostium, bazată pe Arbitrum, a suferit pierderi de aproximativ 18 milioane de dolari din cauza furtului cheii de semnare a oracolului. Mai mult, în cazul AFX Trade, un atac asupra punții USDC a dus la pierderi de aproximativ 24 de milioane de dolari.