Un attaquant a drainé environ 1,36 million de dollars d'actifs durs du réseau de liquidité inter-chaînes MAYAChain, principalement via environ 20,83 BTC déplacés vers des chaînes externes. Les dégâts à l'intérieur des pools de liquidité de MAYAChain se sont toutefois élevés à près de 11 millions de dollars, le token CACAO du réseau s'effondrant de 88,7 %, passant d'environ 0,115 $ à 0,013 $, pendant l'incident. Le chercheur indépendant Vini Barbosa a retracé la majeure partie de l'activité jusqu'à une seule transaction MsgDeposit comportant 23 messages, dans laquelle le DONATE final a écrasé l'état ObservedTxVoter antérieur, fait enregistrer des transferts sortants légitimes comme manquants, et déclenché une fausse subvention de détection de vol que le protocole ne pouvait pas réellement financer.
Pourquoi c'est important
L'exploit a transformé une écriture comptable que la réserve ne pourrait jamais financer en position de liquidité retirable. Avec la hauteur sortante mal classée, le chemin de subvention destiné à compenser un pool après un vrai vol s'est activé pour des transferts légitimes, calculant environ 49,45 millions de CACAO de valeur pour un pool ARB presque vide, alors que la réserve ne détenait qu'environ 168 000 CACAO. Le transfert on-chain a échoué, mais le solde gonflé a survécu dans les registres du pool, et l'attaquant a capturé environ 99,93 % des unités de propriété du pool déformé en ajoutant une liquidité négligeable. Le chiffre de 1,36 M$ retrace ce qui a quitté le réseau ; le chiffre de 11 M$ capture la cascade à l'intérieur. Maya Protocol n'a pas encore publié de correctif confirmé, de redémarrage des swaps ni de cadre de compensation.
Impact sur le marché
CACAO a chuté de 88,7 % pendant l'incident, formant le pont entre les deux chiffres de perte. Le token représente un côté des pools de liquidité appariés de MAYAChain, donc une forte baisse de son prix en dollars réduit la valeur mesurée de l'inventaire de CACAO dans tout le système, même quand ces tokens restent à l'intérieur d'un pool. Les transactions exécutées à des prix de pool déformés et le solde créé par l'exploit ont ajouté une autre couche d'impact. Le fondateur Aaluxx a déclaré le 18 août que l'équipe corrigerait l'incident et se « rétablirait pleinement ». À la date limite du 20 août, les canaux officiels de Maya n'avaient pas encore publié de redémarrage confirmé des swaps, de version de correctif déployée, de total de récupération d'actifs, d'allocation finale des pertes ni de périmètre de compensation pour les fournisseurs de liquidité.
Questions fréquemment posées
-
Combien l'attaquant de MAYAChain a-t-il réellement emporté hors du réseau ?
Environ 1,36 million de dollars, principalement via environ 20,83 BTC déplacés vers des chaînes externes. Le chiffre de 11 M$ retrace l'impact sur les pools à l'échelle du réseau, et non ce que l'attaquant a emporté.
-
Qu'est-ce qui a rendu le solde CACAO retirable en premier lieu ?
Le chercheur Vini Barbosa a retracé l'exploit jusqu'à une transaction MsgDeposit à 23 messages dont le DONATE final a écrasé la hauteur sortante utilisée pour faire correspondre les transactions. Cela a activé la logique de détection de vol qui a calculé ~49,45 M de CACAO de valeur de subvention pour un pool ARB…
-
Comment une extraction de 1,36 M$ s'est-elle transformée en 11 M$ de dégâts dans les pools ?
CACAO est un côté de chaque pool de liquidité apparié sur MAYAChain, et le token s'est effondré de 88,7 %, passant d'environ 0,115 $ à 0,013 $. L'effondrement du prix se répercute sur la valeur mesurée des pools du réseau, ce qui explique l'estimation de 11 M$.
-
Que doit encore publier Maya Protocol pour rendre le « rétablissement complet » concret ?
À la date limite du 20 août, Maya n'avait pas publié de redémarrage de swap confirmé, de version de correctif déployée, de total de récupération d'actifs, d'allocation finale des pertes ni de périmètre de compensation pour les fournisseurs de liquidité.
-
Le même chemin d'exploit affecte-t-il THORChain ?
Les Trade Accounts de MAYANode s'appuyaient sur des merge requests de THORChain, ce qui établit une lignée de développement partagée. Mais la documentation publique au moment de la publication ne démontrait pas que THORChain porte le même chemin d'exploit.
CoinDesk
TheBlock
WuBlockchain
CoinTelegraph
Crypto Rank News