Notizie su attacchi crypto: Maya Protocol perde 1,7 milioni di dollari in un attacco con sei bug

Approfondimenti Chiave

• Notizie su attacchi crypto: Maya Protocol fermato dopo un exploit da 1,7 milioni di dollari.
• L’attaccante ha prelevato 48,87 milioni di CACAO manipolando la contabilità del pool.
• Il valore di CACAO è crollato dell’88,7% mentre l’arbitraggio ha amplificato le perdite complessive del pool.

Maya Protocol ha fermato MAYAChain il 18 agosto dopo che un attaccante ha sfruttato sei vulnerabilità software collegate. L’attacco ha causato perdite controllate dall’attaccante per circa 1,7 milioni di dollari. Il cofondatore di Maya, Aalux ha detto il team ha contenuto ulteriori danni e ha iniziato i lavori di recupero.

The incident mattered because one transaction exploited several accounting and execution weaknesses together. The attacker converted manipulated protocol balances into Bitcoin, Ether, RUNE and stablecoins. The case also differed from a truffa crypto perché le perdite sono state causate da vulnerabilità software, non da inganno degli utenti.

Notizie su attacchi crypto: MAYAChain fermato dopo exploit con sei bug

Il cofondatore di Maya, Aalux ha detto l’attaccante ha sottratto circa 20 Bitcoin e altri 300.000$ in asset. Ha dichiarato che Maya ha implementato un blocco globale dopo aver rilevato l’exploit. Il team ha poi iniziato a preparare le correzioni prima di ripristinare gli swap.

L'allerta di CertiK ha stimato separatamente perdite vicine a 1,7 milioni di dollari. La sua valutazione ha collocato l'incidente tra gli exploit della finanza decentralizzata, non tra phishing o compromissione di wallet. Questa distinzione è importante perché l'attacco ha preso di mira la logica del protocollo e la contabilità del pool.

Il ricercatore indipendente di sicurezza Vini Barbosa ha detto che sei bug hanno formato la catena di exploit. La sua analisi ha rilevato che una transazione conteneva 23 messaggi e ha innescato la maggior parte delle attività. La sequenza ha interessato conti di trading, gestione delle transazioni in uscita e calcoli del pool di liquidità.

Barbosa ha detto l'attaccante ha estratto circa 1,36 milioni di dollari verso blockchain esterne. Ha stimato un impatto totale sul protocollo vicino a 11 milioni dopo gli effetti di mercato. Questa cifra più ampia includeva attività di arbitraggio e deprezzamento di CACAO, non solo asset rubati.

Come l'exploit ha manipolato la contabilità del pool

Il riassunto tecnico di Barbosa ha spiegato che i messaggi di deposito raggruppati hanno sovrascritto un record ObservedTxVoter. L'ultimo messaggio di donazione ha sostituito i dati precedenti del votante e ha azzerato l'altezza in uscita. Questo ha modificato il modo in cui MAYAChain valutava le transazioni in uscita successive.

Il matcher in uscita ha quindi usato un'altezza errata nel controllare i trasferimenti legittimi. Barbosa ha detto che il sistema ha classificato come mancanti le uscite reali. Questo falso risultato ha attivato la logica di rilevamento furti all'interno del protocollo.

Il bug successivo riguardava un pool ARB.LINK a bassa liquidità e il suo calcolo di valutazione. Barbosa ha detto che il calcolo del sussidio non aveva un limite legato alla reale profondità del pool. Questo calcolo ha creato circa 49,45 milioni di CACAO in valore contabile.

Un altro errore di esecuzione è stato commesso nello stato del pool prima che un trasferimento di modulo fosse completato. Barbosa ha detto che la riserva conteneva solo circa 168.000 CACAO, quindi il finanziamento è fallito. Il gestore ha registrato l'errore ma ha continuato senza annullare l'aggiornamento di stato precedente.

L'attaccante ha poi aggiunto liquidità trascurabile al pool gonfiato. Barbosa ha detto che quella posizione ha raggiunto il 99,93% di proprietà prima che l'attaccante ritirasse 48,87 milioni di CACAO. Successivamente l'attaccante ha convertito parte di quei token in asset esterni.

Notizie sull'hack crypto: il crollo di CACAO ha aggravato le perdite del pool

Barbosa ha monitorato il CACAO scendere da circa 0,115$ a 0,013$ durante l'incidente. Questo ha rappresentato un calo dell'88,7% in meno di 240 blocchi. La forte rivalutazione ha amplificato le perdite nei pool che detenevano CACAO contro altri asset.

I dati di CoinGecko hanno poi mostrato CACAO vicino a 0,123$ il 19 agosto. Il dato di prezzo indicava un recupero dal minimo segnalato nell'exploit. La scarsa liquidità e il trading interrotto hanno complicato i confronti diretti tra le piattaforme durante la sospensione.

Il calo più ampio del valore del pool ha raggiunto circa 10,9 milioni di dollari, ha riportato CoinDesk dall'analisi preliminare. Questa cifra includeva effetti di arbitraggio e rivalutazione di CACAO. Non rappresentava quindi asset direttamente controllati dall'attaccante.

La distinzione limita anche i confronti con una stima convenzionale di perdita da truffa crypto. La contabilità dell'exploit può includere asset rubati, saldi di protocollo non recuperati e effetti sul mercato secondario. Queste categorie misurano forme diverse di danno.

Notizie sull'hack crypto: lavori di recupero e prossimo passo della rete

Aalux ha detto che Maya lavorerà per correggere il codice interessato e recuperare le perdite. La sua dichiarazione pubblica ha anche confermato che la sospensione della rete rimane parte della risposta. Maya non ha pubblicato un orario verificato di riavvio nell'aggiornamento citato.

La documentazione di Maya descrive la solvibilità della rete e i controlli di sicurezza come funzioni core del protocollo. L'exploit ha mostrato che le salvaguardie interagenti possono comunque fallire quando si allineano diversi casi limite. La revisione preliminare si è concentrata su quei percorsi di esecuzione combinati.

Barbosa ha detto che lo stesso vettore di attacco non è attualmente possibile su THORChain. Questa valutazione riguardava la specifica sequenza di bug descritta nella revisione preliminare di Maya. Non escludeva la presenza di vulnerabilità non correlate.

Il prossimo sviluppo verificabile è il riavvio della rete Maya o l'annuncio di una patch tecnica. I trader possono anche monitorare se il team pubblicherà la contabilità finale delle perdite. Questi aggiornamenti dovrebbero chiarire gli asset recuperati e le passività residue del protocollo.

L'articolo Notizie su attacchi crypto: Maya Protocol perde 1,7 milioni di dollari in un attacco con sei bug è apparso per primo su The Coin Republic.