Кросс-чейн протокол Maya Protocol остановил свою сеть MAYAChain 18 августа после того, как хакер использовал шесть связанных уязвимостей для кражи криптоактивов на сумму около $1,7 млн. Согласно предварительному анализу, атака была проведена через одну транзакцию, содержащую 23 сообщения.
Последовательность атаки выглядит как сложная цепочка ошибок. MAYAChain ошибочно пометила исходящую транзакцию как украденную и активировала механизм компенсации для пула ликвидности, но этот механизм неверно рассчитал выплату, добавив около 49 млн CACAO в небольшой пул, хотя резерв протокола составлял лишь около 168 000 CACAO. Перевод не удался, но система ошибочно сохранила новый баланс, и сеть продолжила работать так, как будто пул действительно содержал дополнительные токены.
Затем злоумышленник внёс небольшую сумму в искажённый пул, получив более 99% его доли, и немедленно вывел 48,87 млн CACAO через модуль Asgard. После этого он обменял их на биткоин, эфир и другие активы из пулов MAYAChain.
По данным основателя протокола Aalux, злоумышленник похитил около 20 BTC (примерно $1,4 млн) и ещё около $300 000 в других активах. Цепочка данных подтверждает, что примерно $1,36 млн было перемещено на внешние блокчейны, а ещё $291 000 осталось под контролем хакера в виде CACAO и позиций на торговых счетах MAYAChain.
Однако реальный ущерб оказался значительно шире. В результате атаки и последовавших за ней действий CACAO обвалилась почти на 89% — с $0,115 до $0,013, после чего частично восстановилась до $0,03. По мере обрушения токена арбитражные трейдеры начали скупать подешевевшие CACAO и обменивать их на биткоин, эфир, стейблкоины и другие активы в пулах MAYAChain, что привело к дополнительным потерям.
Технический анализ показывает, что совокупное снижение стоимости пулов MAYAChain достигло примерно $10,9 млн. Из них около $6,4 млн пришлись на обесценивание самого токена CACAO, а около $2,9 млн — на арбитражные операции.
Основатель Aalux заявил, что глобальная остановка сети позволила сдержать дальнейшие потери и дать разработчикам время для устранения уязвимостей. Протокол выразил надежду, что хакер вернёт средства в обмен на баг-баунти, в противном случае команда планирует восполнить украденные биткоины через инвестиции в Aztec Chain и другие механизмы.
Maya Protocol пока не назвала точную дату возобновления работы сети. Этот инцидент стал очередным напоминанием о том, насколько сложная логика децентрализованных протоколов остаётся уязвимой для атак, особенно когда речь идёт о взаимодействии нескольких компонентов одновременно. Ближайшие недели покажут, сможет ли команда не только восстановить работу сети, но и вернуть доверие пользователей, пострадавших от резкого обрушения CACAO и потерь в пулах ликвидности.
Последовательность атаки выглядит как сложная цепочка ошибок. MAYAChain ошибочно пометила исходящую транзакцию как украденную и активировала механизм компенсации для пула ликвидности, но этот механизм неверно рассчитал выплату, добавив около 49 млн CACAO в небольшой пул, хотя резерв протокола составлял лишь около 168 000 CACAO. Перевод не удался, но система ошибочно сохранила новый баланс, и сеть продолжила работать так, как будто пул действительно содержал дополнительные токены.
Затем злоумышленник внёс небольшую сумму в искажённый пул, получив более 99% его доли, и немедленно вывел 48,87 млн CACAO через модуль Asgard. После этого он обменял их на биткоин, эфир и другие активы из пулов MAYAChain.
По данным основателя протокола Aalux, злоумышленник похитил около 20 BTC (примерно $1,4 млн) и ещё около $300 000 в других активах. Цепочка данных подтверждает, что примерно $1,36 млн было перемещено на внешние блокчейны, а ещё $291 000 осталось под контролем хакера в виде CACAO и позиций на торговых счетах MAYAChain.
Однако реальный ущерб оказался значительно шире. В результате атаки и последовавших за ней действий CACAO обвалилась почти на 89% — с $0,115 до $0,013, после чего частично восстановилась до $0,03. По мере обрушения токена арбитражные трейдеры начали скупать подешевевшие CACAO и обменивать их на биткоин, эфир, стейблкоины и другие активы в пулах MAYAChain, что привело к дополнительным потерям.
Технический анализ показывает, что совокупное снижение стоимости пулов MAYAChain достигло примерно $10,9 млн. Из них около $6,4 млн пришлись на обесценивание самого токена CACAO, а около $2,9 млн — на арбитражные операции.
Основатель Aalux заявил, что глобальная остановка сети позволила сдержать дальнейшие потери и дать разработчикам время для устранения уязвимостей. Протокол выразил надежду, что хакер вернёт средства в обмен на баг-баунти, в противном случае команда планирует восполнить украденные биткоины через инвестиции в Aztec Chain и другие механизмы.
Maya Protocol пока не назвала точную дату возобновления работы сети. Этот инцидент стал очередным напоминанием о том, насколько сложная логика децентрализованных протоколов остаётся уязвимой для атак, особенно когда речь идёт о взаимодействии нескольких компонентов одновременно. Ближайшие недели покажут, сможет ли команда не только восстановить работу сети, но и вернуть доверие пользователей, пострадавших от резкого обрушения CACAO и потерь в пулах ликвидности.
