L'exploit du 18 août de Maya Protocol s'est métastasé d'un vol direct d'environ 1,36 M$ en près de 11 M$ de dégâts sur les pools, l'attaquant présumé détenant toujours 20,8273 BTC intactes et aucun plan de restauration public ne tenant compte de l'ampleur. Le fondateur Aaluxx a d'abord présenté la perte comme ~20 BTC plus ~300 k$ dans d'autres actifs, un montant que Maya dit désormais pouvoir remplacer via des investissements dans Aztec Chain et un éventuel retour de bug bounty. Mais une reconstitution de CryptoSlate chiffre l'essentiel des dégâts à ~6,4 M$ de reprécisation de CACAO et ~2,9 M$ d'arbitrage post-dislocation après l'effondrement du token de 88,7 %, de 0,115 $ à 0,013 $.
Pourquoi c'est important
Un post-mortem technique de SigIntZero attribue le drainage à six failles de comptabilité et de gestion d'état enchaînées dans une seule transaction de 23 messages. Un état sortant écrasé a produit un faux signal de transfert manquant, activant un chemin de compensation qui a crédité ~49,45 M de CACAO à un pool ARB.LINK peu liquide alors que la réserve de Maya ne détenait que ~168 000 CACAO. Le transfert de réserve a échoué mais le solde gonflé a persisté, permettant à l'attaquant d'absorber ~99,93 % des unités de propriété du pool et de repartir avec ~48,87 M de CACAO. Le chiffre de 11 M$ résulte d'un exploit exécuté contre un pool structurellement peu liquide, où une seule dislocation d'oracle se propage en reprécisation sur chaque book libellé en CACAO sur MAYAChain.
Impact sur le marché
Même si les 20,83 BTC sont restitués ou remplacés, Maya n'a pas publiquement défini qui absorbe le coup de la reprécisation de CACAO ou le manque à gagner d'arbitrage de ~2,9 M$. Les données on-chain montrent 11 transactions confirmées alimentant l'adresse et zéro dépense au 21 août, le solde valant environ 1,59 M$ aux cours actuels du BTC. La chute de 88,7 % de CACAO en quelques heures est le type de dislocation mono-venue qui se répercute sur les DEX cross-chain : les fournisseurs de liquidité des pools CACAO sur les chaînes connectées font face à des pertes mark-to-market sans filet de sécurité défini, et la crédibilité de gouvernance du protocole en pâtit, que les BTC soient ou non finalement récupérés.
Questions fréquemment posées
-
Combien a coûté réellement l'exploit de Maya Protocol ?
Le vol direct est estimé à 1,36 M$ d'actifs déplacés vers des chaînes externes plus ~291 k$ encore sur MAYAChain, mais les dégâts plus larges sur les pools atteignent environ 11 M$ une fois la reprécisation de CACAO et l'arbitrage post-dislocation inclus.
-
Pourquoi le prix de CACAO a-t-il chuté de 88,7 % pendant l'exploit ?
L'attaquant a retiré ~48,87 M de CACAO après s'être emparé de ~99,93 % des unités de propriété d'un pool ARB.LINK peu liquide, puis a échangé contre des actifs détenus par d'autres pools de MAYAChain. La pression vendeuse sur les books libellés en CACAO a fait chuter le token de ~0,115 $ à ~0,013 $ en quelques heures.
-
Maya Protocol peut-il récupérer les fonds perdus ?
Maya a indiqué qu'elle pourrait remplacer les ~20 BTC via des investissements dans Aztec Chain et espère un retour de bug bounty, mais n'a publié aucun plan pour restaurer les ~6,4 M$ de pertes de reprécisation de CACAO ni les ~2,9 M$ de pertes d'arbitrage. Les 20,83 BTC détenus par l'attaquant sont toujours intacts…
-
Quelle faille technique a permis l'exploit de Maya Protocol ?
Une reconstitution de SigIntZero attribue le drainage à six failles de comptabilité et de gestion d'état enchaînées dans une seule transaction de 23 messages. Un état sortant écrasé a produit un faux signal de transfert manquant qui a crédité ~49,45 M de CACAO à un pool dont la réserve ne détenait que ~168 000 CACAO.
-
Quelle est l'exposition pour les fournisseurs de liquidité sur les chaînes connectées ?
Les LP des pools CACAO sur les DEX cross-chain connectés à MAYAChain font face à des pertes mark-to-market dues à la baisse de 88,7 % du token, sans filet de sécurité défini. Maya ne s'est pas publiquement engagée à couvrir le manque à gagner de la reprécisation, laissant l'exposition des LP ouverte.
CoinDesk
TheBlock
WuBlockchain
CoinTelegraph
Crypto Rank News