El exploit de Maya Protocol drena bitcoin y otros activos mientras el valor del pool cae $11 millones

El protocolo de liquidez cross-chain Maya Protocol detuvo su red MAYAChain después de que una serie de errores de software generaran un saldo falso en uno de sus pools de liquidez, lo que permitió a un atacante drenar cerca de 1.7 millones de dólares en bitcoin $BTC$64.295,90 y otros activos, además de provocar una caída adicional que causó pérdidas totales de aproximadamente 11 millones de dólares.

Fundador @AaluxxMyth dijo en X que fueron explotados 20 $BTC, por un valor aproximado de 1.4 millones de dólares, además de aproximadamente 300,000 dólares en otros activos. Detuvo todas las operaciones para contener el daño y afirmó que está trabajando en una solución antes de que se reanuden los intercambios.

MAYAChain es una red de comercio cruzado más pequeña que permite a los usuarios intercambiar activos como bitcoin y ether sin necesidad de enviarlos primero a través de un exchange centralizado, y forma parte del ecosistema más amplio de Maya. Los operadores intercambian contra grupos de criptomonedas depositadas en la red, utilizando su token CACAO como el activo común que conecta esos mercados.

Una reconstrucción técnicadel ataque identificaron seis errores que debían funcionar en conjunto. La cadena comenzó cuando MAYAChain decidió erróneamente que una transacción saliente había desaparecido y activó un código destinado a compensar un fondo de liquidez, o un conjunto de criptomonedas utilizado para facilitar intercambios, tras un robo.

Pero ese mecanismo de seguridad calculó la compensación de manera incorrecta. Añadió aproximadamente 49 millones de CACAO a un pequeño fondo a pesar de que la reserva de MAYAChain tenía solo alrededor de 168,000 CACAO y no podía financiar el pago.

La transferencia falló, pero otro error hizo que el nuevo saldo ya se hubiera guardado en los registros de la red. Y en lugar de revertir el cambio cuando el pago falló, MAYAChain continuó operando como si el grupo realmente conteniera los tokens adicionales.

El atacante luego depositó una pequeña cantidad en el grupo distorsionado y terminó poseyendo más del 99 % del mismo. Inmediatamente retiró 48,87 millones de CACAO y comenzó a intercambiar esos tokens por bitcoin, ether y otros activos que se encontraban en los grupos de MAYAChain.

Los registros en cadena muestran que 20.83 $BTC, por un valor aproximado de $1.34 millones, fueron enviados a la dirección de bitcoin del atacante. El análisis confirmó que activos por un valor aproximado de $1.36 millones fueron transferidos a blockchains externas, mientras que otros 8.87 millones de CACAO permanecieron en la billetera MAYAChain del atacante.