Новости о криптовзломах: Maya Protocol потерял $1,7 млн из-за атаки с шестью уязвимостями

Основные выводы

• Новости о криптовзломах: Maya Protocol остановлен после атаки на $1,7 млн.
• Злоумышленник вывел 48,87 млн CACAO, манипулируя учётом пула.
• CACAO упал на 88,7% из-за арбитража, усугубившего потери пула.

Maya Protocol остановил MAYAChain 18 августа после эксплуатации шести связанных уязвимостей. Взлом привёл к потерям около $1,7 млн под контролем злоумышленника. Сооснователь Maya Aalux заявила, команда локализовала ущерб и начала восстановительные работы.

Инцидент важен тем, что одна транзакция использовала сразу несколько уязвимостей в учёте и исполнении. Злоумышленник конвертировал манипулированные балансы протокола в Bitcoin, Ether, RUNE и стейблкоины. Этот случай отличается от крипто мошенничества, так как потери вызваны ошибками в ПО, а не обманом пользователей.

Новости о криптовзломах: MAYAChain остановлен после атаки с шестью уязвимостями

Сооснователь Maya Aalux заявила, злоумышленник похитил около 20 биткоинов и ещё $300 000 в активах. По его словам, Maya ввела глобальную остановку после обнаружения атаки. Команда начала готовить исправления перед восстановлением свопов.

Отдельно CertiK оценил потери примерно в $1,7 млн. По их оценке, инцидент относится к взломам в DeFi, а не к фишингу или компрометации кошельков. Это важно, так как атака была направлена на логику протокола и учёт пула.

Независимый исследователь безопасности Вини Барбоза заявил, что цепочку атаки составили шесть уязвимостей. По его анализу, одна транзакция содержала 23 сообщения и вызвала основную активность. Последовательность затронула торговые аккаунты, обработку исходящих транзакций и расчёты ликвидности пула.

Барбоса заявила, злоумышленник вывел около 1,36 миллиона долларов на внешние блокчейны. Он оценил общий ущерб протокола примерно в 11 миллионов долларов с учётом рыночных эффектов. Эта более широкая цифра включала арбитражную активность и обесценивание CACAO, а не только украденные активы.

Как эксплойт манипулировал учётом пула

Техническое резюме Барбосы гласило, что пакетные сообщения о депозитах перезаписывали запись ObservedTxVoter. Финальное сообщение о пожертвовании заменяло предыдущие данные голосующего и сбрасывало исходный высотный показатель. Это изменяло способ оценки последующих исходящих транзакций MAYAChain.

Затем исходящий матчинг использовал неверный высотный показатель при проверке легитимных переводов. Барбоса отметил, что система классифицировала реальные исходящие транзакции как отсутствующие. Этот ложный результат активировал логику обнаружения кражи внутри протокола.

Следующая ошибка касалась пула ARB.LINK с низкой ликвидностью и расчёта его оценки. Барбоса сказал, что расчёт субсидии не имел ограничения, связанного с реальной глубиной пула. Этот расчёт создал примерно 49,45 миллиона CACAO в учётной стоимости.

Ещё один сбой произошёл в состоянии пула до завершения модуля перевода. Барбоса отметил, что резерв содержал всего около 168 000 CACAO, поэтому финансирование не удалось. Обработчик зафиксировал ошибку, но продолжил работу без отмены предыдущего обновления состояния.

Злоумышленник затем добавил незначительную ликвидность в раздутый пул. Барбоса сказал, что эта позиция получила 99,93% владения, прежде чем злоумышленник вывел 48,87 миллиона CACAO. Позже часть этих токенов была конвертирована во внешние активы.

Новости криптовзломов: падение CACAO усугубило потери пула

Барбоса отслеживал падение CACAO с примерно 0,115 до 0,013 долларов во время инцидента. Это означало снижение на 88,7% менее чем за 240 блоков. Резкое изменение цены усилило потери в пулах с CACAO против других активов.

Данные CoinGecko позже показали CACAO около 0,123 долларов 19 августа. Ценовые данные указывали на восстановление после зафиксированного минимума эксплойта. Низкая ликвидность и прерванная торговля усложняли прямые сравнения между площадками во время остановки.

Общее снижение стоимости пула достигло около 10,9 миллиона долларов, сообщил CoinDesk по предварительному анализу. Эта цифра включала арбитраж и переоценку CACAO. Поэтому она не отражала активы, напрямую контролируемые злоумышленником.

Это различие также ограничивает сравнения с обычной оценкой потерь от криптомошенничества. Учёт эксплойта может включать украденные активы, невозвращённые балансы протокола и эффекты вторичного рынка. Эти категории измеряют разные виды ущерба.

Новости криптовзломов: работа по восстановлению и следующий шаг сети

Aalux заявил, что Maya будет работать над исправлением затронутого кода и возмещением потерь. Его публичное заявление также подтвердило, что остановка сети остаётся частью реакции. Maya не опубликовала проверенное время перезапуска в указанном обновлении.

Документация Maya описывает платёжеспособность сети и меры безопасности как ключевые функции протокола. Эксплойт показал, что взаимодействующие защитные механизмы могут провалиться при совпадении нескольких крайних случаев. Предварительный обзор сосредоточился на этих комбинированных путях исполнения.

Барбоса сказал, что тот же вектор атаки сейчас невозможен на THORChain. Эта оценка касалась конкретной последовательности ошибок, описанной в предварительном обзоре Maya. Она не утверждала отсутствия несвязанных уязвимостей.

Следующее проверяемое событие — перезапуск сети Maya или объявление технического патча. Трейдеры также могут следить за публикацией итогового учёта потерь командой. Эти обновления должны прояснить восстановленные активы и оставшиеся обязательства протокола.

Публикация Новости о криптовзломах: Maya Protocol потерял $1,7 млн из-за атаки с шестью уязвимостями впервые появилась на The Coin Republic.