Maya Protocol, utnyttjande av 6 buggar i ett hack har orsakat skador för 170 miljoner kronor och lett till ett nätverksavbrott

Maya Protocol, ett tvärkedje-likviditetsnätverk, har utsatts för en omfattande hackning där sex olika programvarufel utnyttjades samtidigt. I attacken stals kryptovalutor till ett värde av cirka 1,65 miljoner dollar, och MAYAChain-nätverkets drift har helt stoppats. Grundaren, AaluxxMyth (nedan kallad Maya), erkände direkt i ett inlägg på X (tidigare Twitter) att "det finns inget sätt att förmildra detta. Det är troligt att cirka 20 BTC (1,4 miljoner dollar) och andra tillgångar (värda cirka 300 000 dollar) har stulits.". Enligt den efteranalysrapport som teamet publicerade, utförde angriparen hela attacken genom en enda MsgDeposit-transaktion som bestod av 23 meddelanden. Mer specifikt utlöste angriparen en falsk "stöld"-detekteringsmekanism, vilket ledde till att likviditetspoolens CACAO-saldo artificiellt ökade till 49,45 miljoner genom obegränsade slashing-bidrag. Därefter deltog angriparen i den manipulerade poolen som en LP (Liquidity Provider), säkrade en andel på 99,93 % och tog omedelbart ut 48,87 miljoner CACAO. Under processen där angriparen bytte ut den stulna CACAO-valutan mot till exempel Bitcoin, sjönk priset på CACAO med cirka 89 %, vilket resulterade i att det totala värdet av MAYAChains likviditetspool minskade med cirka 1,09 miljoner dollar. Den totala skadan uppskattas till cirka 1,65 miljoner dollar, varav 1,36 miljoner dollar (inklusive 20,83 BTC) överfördes till externa blockkedjor, medan de återstående cirka 291 000 dollar kvarstod i blockkedjan. Teamet meddelade att de sex felen inte upptäcktes förrän efter 3-4 år, trots att de hade granskats av säkerhetsföretaget Halborn och av Fable 5. Maya sade att man måste "använda en mer aggressiv metod för att upptäcka extremt enkla kodfel" och att man skulle stärka hela systemet för kodgranskning. Teamet tillade också att det ännu inte är fastställt om AI användes i attacken. Maya Protocol uppmanade till återbetalning av medel, under förutsättning att angriparens Bitcoin-adress avslöjas och en buggbelöning erbjuds. Om återbetalningen inte sker, meddelade teamet att de planerar att själva finansiera cirka 20 BTC genom investeringar i Aztec Chain och andra medel, för att kompensera de drabbade likviditetspoolerna. Denna händelse är en av de senaste i en rad stora säkerhetsbrister inom DeFi-området. I april stals cirka 292 miljoner dollar från KelpDAOs cross-chain bridge till följd av en social ingenjörsattack, och i juli drabbades den på Arbitrum baserade handelsplattformen Ostium av en förlust på cirka 18 miljoner dollar efter att en orakelnyckel stulits. Nu har ytterligare cirka 24 miljoner dollar stulits från AFX Trade genom en attack riktad mot deras USDC-brygga.