Взлом Maya Protocol: украдено 1,7 млн долларов, общий ущерб — 10,9 млн

18 августа кроссчейн-биржа Maya Protocol подверглась хакерской атаке. Злоумышленник воспользовался уязвимостями в коде платформы и вывел криптовалюту на 1,7 миллиона долларов ≈ 5,15 млн BYN. Команда проекта остановила работу сети, чтобы предотвратить дальнейшие потери.

Взлом затронул общие пулы ликвидности биржи. По предварительному техническому анализу, хакер использовал шесть связанных между собой багов — в торговых счетах, обработке исходящих транзакций и вычислениях в пулах ликвидности. Для вывода средств злоумышленнику хватило одной транзакции из 23 сообщений.

Что забрал хакер

Сооснователь Maya Protocol под псевдонимом Aalux подтвердил, что из протокола были выведены активы разных форматов:

• около 20 BTC, которые на тот момент оценивались в 1,4 миллиона долларов ≈ 4,24 млн BYN;
• другие криптовалюты на сумму примерно 300 тысяч долларов;
• 48,87 миллиона нативных токенов платформы CACAO.

Слив такого объема CACAO спровоцировал падение курса монеты на 89%.

Косвенный ущерб пулам ликвидности

Прямая кража оказалась лишь частью потерь. Из-за нарушения математического баланса в смарт-контрактах и резкого обесценивания токена пулы ликвидности MAYAChain понесли масштабные косвенные убытки. Аналитики оценивают общий ущерб для ликвидности протокола примерно в 10,9 миллиона долларов ≈ 33,0 млн BYN — эта сумма образовалась из-за арбитражных сделок и автоматической переоценки активов внутри платформы. Разработчики пока не представили план восстановления пулов и не уточнили, кто покроет убытки.

Переговоры с хакером

Команда пытается урегулировать ситуацию напрямую с злоумышленником. Aalux сообщил, что разработчики отправили хакеру сообщение через транзакцию биткоина с использованием функции OP_RETURN, предложив переговоры. Сам сооснователь пообещал лично пожертвовать 200 тысяч долларов на восстановление проекта.

По данным ончейн-аналитики, украденные биткоины до сих пор лежат без движения: на главном кошельке хакера находится 20,82 BTC, и по состоянию на 21 августа ни одной исходящей транзакции с этого адреса не зафиксировано. Дальнейшая судьба Maya Protocol зависит от того, сможет ли команда договориться со взломщиком о возврате средств или найти внешнее финансирование для закрытия дыры в пулах ликвидности.