El exploit del 18 de agosto de Maya Protocol se ha metastatizado desde un robo directo de ~$1.36M hasta aproximadamente $11M de daños en pools, con el presunto atacante aún reteniendo 20.8273 BTC intactos y sin un plan público de restauración que contemple la propagación. El fundador Aaluxx inicialmente enmarcó la pérdida como ~20 BTC más ~$300K en otros activos, una cifra que Maya ahora dice que podría reemplazar mediante inversiones en Aztec Chain y un esperado retorno por bug-bounty. Pero una reconstrucción de CryptoSlate sitúa la mayor parte del daño en ~$6.4M por repreciación de CACAO y ~$2.9M en arbitraje post-dislocación tras el colapso del token un 88.7% desde $0.115 hasta $0.013.
Por qué importa
Un análisis post-mortem técnico de SigIntZero atribuye el drenaje a seis fallos contables y de manejo de estado encadenados dentro de una transacción de 23 mensajes. El estado de salida sobrescrito produjo una falsa señal de transferencia faltante, activando una vía de compensación que acreditó ~49.45M CACAO a un pool ARB.LINK delgado, aunque la reserva de Maya solo contenía ~168,000 CACAO. La transferencia de la reserva falló pero el saldo inflado persistió, permitiendo al atacante absorber ~99.93% de las unidades de propiedad del pool y salir con ~48.87M CACAO. La cifra de $11M es función de un único exploit ejecutado contra un pool estructuralmente delgado, donde una sola dislocación del oráculo se propaga en repreciación a través de cada libro denominado en CACAO en MAYAChain.
Impacto en el mercado
Incluso si los 20.83 BTC son devueltos o reemplazados, Maya no ha definido públicamente quién absorbe el golpe de la repreciación de CACAO ni el vacío de arbitraje de ~$2.9M. Los datos on-chain muestran 11 transacciones confirmadas financiando la dirección y cero gastos al 21 de agosto, con el saldo valorado en aproximadamente $1.59M a precios actuales de BTC. La caída del 88.7% de CACAO en horas es el tipo de dislocación de una sola plataforma que se propaga por los DEX cross-chain: los proveedores de liquidez en pools de CACAO en cadenas conectadas enfrentan pérdidas mark-to-market sin un respaldo definido, y la credibilidad de gobernanza del protocolo se resiente se recupere finalmente el BTC o no.
Preguntas frecuentes
-
¿Cuánto costó realmente el exploit de Maya Protocol?
El robo directo se estima en $1.36M en activos movidos a cadenas externas más ~$291K aún en MAYAChain, pero el daño total en pools alcanza aproximadamente $11M una vez incluida la repreciación de CACAO y el arbitraje post-dislocación.
-
¿Por qué el precio de CACAO cayó un 88.7% durante el exploit?
El atacante retiró ~48.87M CACAO tras capturar ~99.93% de las unidades de propiedad de un pool ARB.LINK delgado, y luego intercambió por activos mantenidos en otros pools de MAYAChain. La presión de venta contra los libros denominados en CACAO llevó al token desde ~$0.115 hasta ~$0.013 en horas.
-
¿Puede Maya Protocol recuperar los fondos perdidos?
Maya ha indicado que podría reemplazar los ~20 BTC mediante inversiones en Aztec Chain y espera un retorno por bug-bounty, pero no ha publicado un plan para restaurar los ~$6.4M en pérdidas por repreciación de CACAO ni el golpe de arbitraje de ~$2.9M. Los 20.83 BTC en manos del atacante siguen intactos on-chain.
-
¿Qué fallo técnico permitió el exploit de Maya Protocol?
Una reconstrucción de SigIntZero atribuye el drenaje a seis fallos contables y de manejo de estado encadenados dentro de una transacción de 23 mensajes. El estado de salida sobrescrito produjo una falsa señal de transferencia faltante que acreditó ~49.45M CACAO a un pool cuya reserva solo contenía ~168,000 CACAO.
-
¿Cuál es la exposición de los proveedores de liquidez en cadenas conectadas?
Los LP de pools de CACAO en DEX cross-chain conectados a MAYAChain enfrentan pérdidas mark-to-market por la caída del 88.7% del token sin un respaldo definido. Maya no se ha comprometido públicamente a cubrir el vacío de repreciación, dejando la exposición de los LP indefinida.
CoinDesk
TheBlock
CoinTelegraph
Lookonchain
WuBlockchain