MAYAChain detiene la red tras una explotación estimada de $1,7 millones

[Actualización, 09:25 UTC, 19 de agosto: Se añaden detalles sobre la mecánica del exploit y su impacto en los pools de liquidez de MAYAChain.]

El exchange descentralizado (DEX) cross-chain Maya Protocol detuvo su red después de que un atacante explotara una serie de fallos de software para obtener aproximadamente 1,7 millones de dólares en criptomonedas.

El miércoles, el cofundador seudónimo de Maya Protocol, Aalux dijo que el atacante robó alrededor de 20 Bitcoin por valor de 1,4 millones de dólares y otros 300.000 dólares en activos. Dijeron que la detención evitó daños adicionales y que el equipo había comenzado a trabajar en una solución para reanudar los swaps.

Un análisis técnico preliminar compartido por Aalux atribuyó el incidente a seis errores encadenados relacionados con las cuentas de trading, la gestión de las transacciones salientes y los cálculos de los pools de liquidez. 

Aunque el análisis cifró el botín del atacante en unos 1,7 millones de dólares, estimó que los pools de MAYAChain perdieron alrededor de 10,9 millones de dólares en valor, incluidas las pérdidas derivadas del arbitraje y del colapso de CACAO.

Cointelegraph contactó a Aalux y al equipo de Maya para obtener más información, pero no recibió respuesta. 

Cómo se desarrolló el exploit de MAYAChain

Maya Protocol es una red cross-chain creada a partir del código de código abierto de THORChain y diseñada para complementarlo. CACAO es el token de gas y liquidación de MAYAChain y está emparejado con los activos compatibles en sus pools de liquidez. 

Según el análisis, la transacción sobrescribió los registros que rastreaban las transferencias salientes, lo que provocó que las transferencias se clasificaran como desaparecidas. Esto activó un mecanismo de protección contra robos, que calculó incorrectamente la compensación para el pool de Arbitrum Chainlink (ARB.LINK) de Maya, de baja liquidez, y le acreditó erróneamente 49,45 millones de CACAO.

Relacionado: BitBox corrige fallos «graves» de sus wallets que podrían poner los fondos en riesgo

La transferencia destinada a financiar ese crédito falló porque la reserva de Maya no tenía suficientes CACAO, pero el saldo inflado del pool permaneció. El atacante entonces añadió una liquidez insignificante, adquirió el 99,93 % del pool y retiró 48,87 millones de CACAO de Asgard, que mantiene los activos del protocolo.  

El investigador independiente de seguridad blockchain Vini Barbosa resumió los hallazgos y señaló que CACAO cayó un 88,7 %, de aproximadamente 0,115 dólares a 0,013 dólares durante el incidente. 

Aalux dijo que el equipo buscaría recuperar los fondos robados mediante una recompensa por errores y trabajaría para restaurar la liquidez. 

Revista: Los «rumores fabricados» sobre el fundador de BitMart y las bStocks de Binance dominan: Asia Express