Giao thức Maya bị khai thác do 6 lỗi, gây thiệt hại 17 tỷ won và làm gián đoạn mạng

Mạng lưới thanh khoản đa chuỗi Maya Protocol đã bị tấn công mạng quy mô lớn, trong đó 6 lỗ hổng phần mềm bị khai thác đồng thời, dẫn đến việc đánh cắp khoảng 1,65 triệu đô la Mỹ tiền điện tử và tạm dừng hoàn toàn hoạt động của mạng lưới MAYAChain. Người sáng lập, AaluxxMyth (sau đây gọi là Maya), đã thừa nhận trên nền tảng X (trước đây là Twitter) rằng: "Không có cách nào để làm nhẹ đi sự việc này. Có khả năng khoảng 20 BTC (1,4 triệu đô la Mỹ) và các tài sản khác (khoảng 300.000 đô la Mỹ) đã bị đánh cắp.". Theo báo cáo phân tích sau sự kiện do nhóm công bố, kẻ tấn công đã thực hiện toàn bộ quá trình tấn công thông qua một giao dịch MsgDeposit duy nhất, bao gồm 23 thông điệp. Cụ thể, kẻ tấn công đã kích hoạt một cơ chế "phát hiện trộm" giả mạo, từ đó tăng tổng hợp số lượng CACAO trong một pool có tính thanh khoản thấp lên 4,945 triệu token thông qua việc cấp trợ cấp slashing không giới hạn. Sau đó, kẻ tấn công đã tham gia vào pool đã được tăng tổng hợp này với tư cách là nhà cung cấp thanh khoản (LP), nắm giữ 99,93% cổ phần, và ngay lập tức rút 4,887 triệu CACAO. Trong quá trình kẻ tấn công đánh cắp CACAO và chuyển đổi nó thành Bitcoin hoặc các loại tiền điện tử khác, giá của CACAO đã giảm mạnh khoảng 89%. Do đó, tổng giá trị của các pool thanh khoản trên toàn mạng MAYAChain đã giảm khoảng 1,09 triệu đô la Mỹ. Ước tính tổng thiệt hại là khoảng 1,65 triệu đô la Mỹ, trong đó 1,36 triệu đô la Mỹ (bao gồm 20,83 BTC) đã được chuyển sang các blockchain khác, và khoảng 291.000 đô la Mỹ còn lại vẫn còn trong hệ thống. Đội ngũ đã thông báo rằng 6 lỗi bảo mật này, mặc dù đã được kiểm tra bởi các công ty kiểm toán Halborn và Fable 5, vẫn chưa được phát hiện trong khoảng 3-4 năm. Maya cho biết: "Chúng tôi cần áp dụng phương pháp tiếp cận mạnh mẽ hơn để phát hiện các đoạn mã cơ bản đơn giản", đồng thời khẳng định sẽ tăng cường toàn bộ hệ thống kiểm tra mã. Đội ngũ cũng cho biết hiện vẫn chưa xác định được liệu trí tuệ nhân tạo có được sử dụng trong các cuộc tấn công hay không. Maya Protocol đã kêu gọi hoàn trả tiền, đồng thời công khai địa chỉ Bitcoin của kẻ tấn công và đưa ra chương trình bồi thường lỗi. Nếu việc hoàn trả không được thực hiện, nhóm dự kiến sẽ tự huy động khoảng 20 BTC thông qua các kênh như đầu tư vào Aztec Chain và các phương tiện khác để bù đắp cho các quỹ thanh khoản bị ảnh hưởng. Vụ việc này là một trong những vụ tấn công lớn gần đây vào các giao thức DeFi. Vào tháng 4, khoảng 29,2 triệu đô la đã bị đánh cắp từ cầu liên chuỗi KelpDAO do một cuộc tấn công kỹ thuật xã hội. Vào tháng 7, sàn giao dịch hợp đồng tương lai Ostium trên Arbitrum đã bị thiệt hại khoảng 1,8 triệu đô la do việc đánh cắp khóa chữ ký của oracle. Và gần đây, AFX Trade cũng đã bị tấn công vào cầu USDC, dẫn đến việc mất khoảng 24 triệu đô la.