CryptoSlate
Bir saldırgan, çapraz zincir likidite ağı MAYAChain'den yaklaşık 1,36 milyon dolarlık somut varlığı boşalttı; bunun başlıca kalemini dış zincirlere taşınan yaklaşık 20,83 BTC oluşturuyordu. Ancak MAYAChain'in likidite havuzlarındaki hasar 11 milyon dolara yaklaştı; ağın CACAO tokeni olay sırasında yaklaşık 0,115 dolardan 0,013 dolara, yani %88,7 düştü. Bağımsız araştırmacı Vini Barbosa, faaliyetlerin çoğunu, içinde 23 mesaj taşıyan tek bir MsgDeposit işlemine kadar izledi; son DONATE, önceki ObservedTxVoter durumunun üzerine yazdı, meşru dış transferlerin kayıp olarak görünmesine yol açtı ve protokolün aslında karşılayamadığı sahte bir hırsızlık tespit sübvansiyonunu tetikledi.
Neden önemli
İstismar, rezervin hiçbir zaman karşılayamayacağı bir muhasebe kalemini çekilebilir bir likidite pozisyonuna dönüştürdü. Dış yükseklik yanlış sınıflandırıldığı için gerçek bir hırsızlık sonrası havuzu telafi etmek için tasarlanan sübvansiyon yolu meşru transferler için devreye girdi; rezervde yalnızca yaklaşık 168.000 CACAO bulunmasına rağmen neredeyse boş bir ARB havuzu için yaklaşık 49,45 milyon CACAO değer hesapladı. Zincir üstü transfer başarısız oldu, ancak şişirilmiş bakiye havuz kayıtlarında kaldı ve saldırgan ihmal edilebilir likidite ekleyerek bozulmuş havuzun sahiplik birimlerinin yaklaşık %99,93'ünü ele geçirdi. 1,36 milyon dolarlık rakam ağdan çıkan miktarı izliyor; 11 milyon dolarlık rakam ise içerideki kaskadı yansıtıyor. Maya Protocol'ün onaylanmış bir yama, takas yeniden başlatma veya tazminat çerçevesi henüz yayımlamadı.
Piyasa etkisi
CACAO olay sırasında %88,7 düştü; bu, iki kayıp rakamı arasındaki köprüydü. Token, MAYAChain'in eşleştirilmiş likidite havuzlarının bir tarafını temsil ettiği için dolar fiyatındaki sert düşüş, o tokenler hâlâ bir havuzun içinde kalsa bile sistem genelinde CACAO envanterinin ölçülen değerini azaltıyor. Bozulmuş havuz fiyatlarına karşı gerçekleştirilen işlemler ve istismarın yarattığı bakiye, etkiye ayrı bir katman ekledi. Kurucu Aaluxx, 18 Ağustos'ta ekibin olayı düzelteceğini ve "tamamen toparlanacağını" söyledi. 20 Ağustos raporlama kesim tarihi itibarıyla Maya'nın resmi kanalları henüz onaylanmış bir takas yeniden başlatma, dağıtılan yama sürümü, varlık kurtarma toplamı, nihai kayıp dağılımı veya likidite sağlayıcıları için tazminat kapsamı yayımlamamıştı.
Sıkça sorulan sorular
-
MAYAChain saldırganı ağ dışına gerçekte ne kadar çıkardı?
Yaklaşık 1,36 milyon dolar; bunun başlıca kalemini dış zincirlere taşınan yaklaşık 20,83 BTC oluşturuyordu. 11 milyon dolarlık rakam ağ genelindeki havuz etkisini yansıtıyor, saldırganın çıkardığı miktarı değil.
-
CACAO bakiyesini başlangıçta çekilebilir yapan ne oldu?
Araştırmacı Vini Barbosa, istismarı son DONATE'in işlemleri eşleştirmek için kullanılan dış yüksekliğin üzerine yazdığı 23 mesajlı bir MsgDeposit işlemine kadar izledi. Bu, neredeyse boş bir ARB havuzu için ~49,45M CACAO sübvansiyon değeri hesaplayan hırsızlık tespit mantığını etkinleştirdi.
-
1,36 milyon dolarlık bir çekim 11 milyon dolarlık havuz hasarına nasıl dönüştü?
CACAO, MAYAChain'deki her eşleştirilmiş likidite havuzunun bir tarafı ve token yaklaşık 0,115 dolardan 0,013 dolara, yani %88,7 çöktü. Fiyat çöküşü, ağın ölçülen havuz değerine kaskadlı olarak yansıyor ve 11 milyon dolarlık tahmini bu tetikledi.
-
Maya Protocol'ün "tamamen toparlanmayı" somutlaştırmak için hâlâ ne yayımlaması gerekiyor?
20 Ağustos raporlama kesim tarihi itibarıyla Maya, onaylanmış bir takas yeniden başlatma, dağıtılan yama sürümü, varlık kurtarma toplamı, nihai kayıp dağılımı veya likidite sağlayıcıları için tazminat kapsamı yayımlamamıştı.
-
Aynı istismar yolu THORChain'i de etkiliyor mu?
MAYANode'un Trade Accounts bileşeni THORChain birleştirme isteklerinden besleniyor; bu da paylaşılan bir geliştirme soyu oluşturuyor. Ancak basın zamanı itibarıyla kamuya açık belgeler, THORChain'in aynı istismar yolunu taşıdığını göstermiyor.
CoinDesk
TheBlock
CoinTelegraph
WuBlockchain
Lookonchain