Пентест WEB: практический курс для начинающих
Разработчики протокола кроссчейн-ликвидности Maya Protocol остановили сеть MAYAChain после того, как злоумышленник воспользовался цепочкой багов и вывел из системы BTC и другие активы на сумму около $1,7 млн. Инцидент вызвал куда более масштабные последствия: совокупная стоимость пулов ликвидности протокола сократилась примерно на $11 млн, а токен CACAO обвалился почти на 89%.
Основатель проекта под ником AaluxxMyth подтвердил взлом и сообщил, что было похищено 20 BTC (около $1,4 млн) и порядка $300 000 в других активах. Торговля в сети была полностью остановлена, чтобы ограничить ущерб.
MAYAChain — сравнительно небольшая кросс-чейн-сеть, позволяющая обменивать такие активы, как BTC и ETH, напрямую, без централизованных бирж. Трейдеры совершают сделки против пулов криптовалюты, внесенной в сеть, а токен CACAO выступает связующим активом между разными рынками.
Как показал технический анализ атаки, за взломом стояла цепочка из шести багов. Все началось с того, что MAYAChain ошибочно решила, будто исходящая транзакция «пропала», и запустила механизм компенсации, предназначенный для пополнения пула после кражи.
Однако этот защитный механизм неверно рассчитал сумму компенсации: он добавил в небольшой пул около 49 млн CACAO, хотя резерв MAYAChain содержал лишь около 168 000 CACAO и физически не мог покрыть такую выплату. Сам перевод не прошел, но из-за еще одного бага новый, искаженный баланс уже был зафиксирован в системе учета. Вместо того чтобы откатить изменения после неудачного платежа, сеть продолжила работать так, будто в пуле действительно появились дополнительные токены.
Затем атакующий внес в этот раздутый пул небольшую сумму и таким образом получил контроль более чем над 99% объема. Он немедленно вывел 48,87 млн CACAO и начал обменивать их на биткоин, эфир и другие активы, находившиеся в пулах MayaChain.
По данным блокчейна, на адрес злоумышленника было отправлено 20,83 BTC (около $1,34 млн); в целом во внешние блокчейны было выведено активов примерно на $1,36 млн, а еще 8,87 млн CACAO остались в его кошельке внутри самой сети MAYAChain — их он не смог потратить из-за отсутствия спроса на токены.
По мере того как атакующий распродавал CACAO, курс токена, составлявший до атаки около $0,115, рухнул до $0,013 (почти на 89%), а позже частично восстановился примерно до $0,03.
Ущерб не ограничился суммой, напрямую украденной хакером. Резко подешевевший CACAO привлек арбитражных трейдеров, которые скупали его и обменивали на BTC, ETH, стейблкоины и другие активы в пулах MAYAChain, усиливая отток средств.
Таким образом, сам атакующий вывел около $1,65 млн (включая токены, все еще находящиеся в сети), тогда как основная часть падения стоимости пулов — результат арбитража и обесценивания CACAO. Из общего снижения стоимости пулов примерно на $10,9 млн около $6,4 млн пришлось на удешевление самого CACAO, а еще около $2,9 млн — на действия арбитражников, использовавших рыночный перекос.
В команде MAYAChain выразили надежду, что злоумышленник добровольно вернет средства в обмен на выплату по программе баг-баунти. Там также заявили, что намерены возместить похищенные 20 BTC за счет средств, инвестированных в Aztec Chain, и из других источников, если хакер не вернет средства сам.
При этом одно только исправление кода не восстановит пулы автоматически: значительная часть искусственно созданных CACAO уже была обменена на другие активы внутри сети и теперь перемешана со средствами обычных поставщиков ликвидности.
