Majski protokol, zloupotreba 6 grešaka dovela do hakovanja i štete od 17 milijardi won, prekid mreže

Kros-čejn likvidnostna mreža Maya Protocol pretrpela je masivan hakerski napad u kojem su istovremeno iskorišćene šest softverskih grešaka, što je rezultiralo krađom kriptovaluta u vrednosti od oko 1,65 miliona dolara i potpunim zaustavljanjem rada MAYAChain mreže. Osnivač, AaluxxMyth (u daljem tekstu Maya), direktno je priznao na svojoj X (ranije Twitter) stranici: "Ne postoji način da se ovo ulepša. Verovatno je ukradeno oko 20 BTC (1,4 miliona dolara) i ostala imovina u vrednosti od oko 300.000 dolara.". Prema izveštaju o postanalitičkoj analizi koji je tim objavio, napadač je celokupan proces napada izvršio putem jedne transakcije tipa MsgDeposit, koja se sastojala od 23 poruke. Konkretno, on je aktivirao lažni mehanizam detekcije "krađe", što je omogućilo veštačko povećanje stanja CACAO u likvidnom fondu na 4,945 miliona, zahvaljujući neograničenim subvencijama za "slash". Nakon toga, napadač je učestvovao u tom uvećanom fondu kao likvidni provajder (LP), stekao 99,93% udela, a zatim je odmah isplatio 4,887 miliona CACAO. Napadač je izvršio krađu CACAO tokena, a tokom procesa zamene za Bitcoin i druge kriptovalute, cena CACAO-a je naglo pala za oko 89%. Kao rezultat toga, ukupna vrednost likvidnosti celog MAYAChain sistema je smanjena za približno 1,090,000 dolara. Procenjena ukupna šteta iznosi oko 1,650,000 dolara, od čega je 1,360,000 dolara (uključujući 20.83 BTC) preneto na eksterne blockchain mreže, dok je preostalih približno 291,000 dolara ostalo na blockchainu. Tim je saopštio da je navedenih šest grešaka ostalo nedetektovano tokom 3 do 4 godine, uprkos tome što su bile predmet revizije od strane kompanije Halborn i revizije Fable 5. Maya je izjavila da je potrebno "primijeniti agresivniji pristup kako bi se otkrili izuzetno jednostavni elementi koda" i da će se ojačati celokupni sistem pregleda koda. Tim je takođe dodao da još nisu utvrdili da li je veštačka inteligencija korišćena u napadu. Maya Protocol je zatražila povraćaj sredstava, uz uslov da se otkrije Bitcoin adresa napadača i da se isplati nagrada za otkrivanje grešaka. Ukoliko se sredstva ne vrate, tim je izjavio da planira da samostalno obezbedi oko 20 BTC, putem investicija u Aztec Chain i drugih sredstava, kako bi nadoknadio gubitke likvidacionih fondova. Ovaj incident je jedan od niza nedavnih velikih napada na DeFi platforme. U aprilu je, zbog socijalnog inženjeringa, otuđeno oko 292 miliona dolara sa KelpDAO kros-čejn mosta, a u julu je Arbitrum platforma Ostium, bazirana na perpetual trgovanju, pretrpela štetu od oko 18 miliona dolara zbog krađe ključeva za potpisivanje od strane orakla. Osim toga, platforma AFX Trade je takođe bila meta napada na njen USDC most, što je rezultiralo otuđivanjem od oko 24 miliona dolara.