Третий день хакерской атаки на протокол Maya, злоумышленник все еще владеет 20.83 BTC

Протокол Maya подвергся хакерской атаке 18 августа, направленной на протокол кроссчейнной ликвидности. По состоянию на 21 августа, спустя три дня после атаки, на биткоин-адрес, предположительно принадлежащем злоумышленникам, по-прежнему находится 20.8273 BTC без каких-либо записей о выводе средств. Согласно открытым данным о транзакциях в сети Bitcoin, на этот адрес 18 августа в 17:32:18 (UTC) было зачислено 20.82730682 BTC в результате 10 начальных транзакций. После этого было совершено еще 546 транзакций, каждая из которых содержала 1 сатоши, в результате чего было зафиксировано в общей сложности 11 транзакций. На текущий момент, исходя из текущей цены биткоина, остаток на этом адресе составляет около 1,59 миллиона долларов США. Аналитик блокчейн-систем SigIntZero объяснил, что данная атака, реализованная посредством технической перестройки, использовала шесть взаимосвязанных уязвимостей, связанных с бухгалтерским учетом и обработкой состояния, внутри одной транзакции, состоящей из 23 сообщений. Злоумышленник, используя перезаписанное исходящее состояние, создал ложный сигнал об отсутствии передачи, что активировало механизм вознаграждения. Несмотря на то, что на счете MAYA хранилось всего около 168 000 CACAO, на пуле ARB.LINK было зачислено около 49,45 миллиона CACAO. Сама операция перевода средств не удалась, но завышенный остаток остался неизменным. После добавления небольшого объема ликвидности, злоумышленник приобрел около 99,93% долей владения этим пулом, вывел около 48,87 миллиона CACAO и обменивал их на активы, находящиеся в другом пуле сети MAYAChain. По оценкам SigIntZero, активы на сумму около 1,36 миллиона долларов были перемещены во внешние сети, а около 291 000 долларов остались внутри сети MAYAChain. Таким образом, общая стоимость активов, находящихся под непосредственным контролем злоумышленника, оценивается примерно в 1,65-1,7 миллиона долларов. Отдельно, общий ущерб для всего проекта оценивается примерно в 10,9 миллиона долларов. Согласно анализу CryptoSlate, из этой суммы около 6,4 миллиона долларов связаны с переоценкой токена CACAO, а около 2,9 миллиона долларов – с убытками, возникшими в результате арбитражных операций, когда цена токена резко упала с примерно 0,115 до 0,013 доллара, что составляет снижение на 88,7%. Основатель протокола Maya, Aaluxx, заявил, что в начале компания потеряла около 20 BTC и другие активы на сумму около 300 тысяч долларов США, и что они приложат все усилия для полного возмещения этих потерь. Представители Maya выражают надежду на добровольный возврат средств в форме вознаграждения за обнаружение ошибок, и, в случае неудачи, рассматривают возможность компенсации утерянных 20 BTC за счет инвестиций в сеть Aztec и других подобных проектов. Однако, даже в случае возврата или компенсации этих биткоинов, это будет лишь частью общих потерь. На момент написания этой статьи, компания Maya еще не опубликовала официальный план, в котором были бы указаны окончательные условия пула, условия вознаграждения, а также информация о том, кто понесет убытки, возникшие в результате транзакций во время переоценки токена CACAO и периода ценовой нестабильности.