MAYAChain detiene la red tras una explotación estimada de $1,7 millones

[Actualización, 09:25 UTC, 19 de agosto: Se añaden detalles sobre la mecánica del exploit y su impacto en los pools de liquidez de MAYAChain.]

Actualización, 06:57 UTC, 20 de agosto: Se añaden comentarios del cofundador de Maya Protocol, Aalux.

El exchange descentralizado (DEX) cross-chain Maya Protocol detuvo su red después de que un atacante explotara una serie de fallos de software para obtener criptomonedas por un valor estimado de 1,7 millones de dólares.

El miércoles, el cofundador seudónimo de Maya Protocol, Aalux, dijo que el atacante robó unos 20 bitcoines por valor de 1,4 millones de dólares y otros activos por valor de 300.000 dólares. Dijo que la detención evitó daños adicionales y que el equipo había comenzado a trabajar en una solución para reanudar los swaps.

Un análisis técnico preliminar compartido por Aalux atribuyó el incidente a seis errores encadenados relacionados con las cuentas de operaciones, la gestión de las transacciones salientes y los cálculos de los pools de liquidez. 

Aunque el análisis situó el botín del atacante en unos 1,7 millones de dólares, estimó que los pools de MAYAChain perdieron unos 10,9 millones de dólares en valor, incluidas las pérdidas derivadas del arbitraje y del colapso de CACAO.

Aalux declaró a Cointelegraph que el equipo había contactado con el atacante a través de un mensaje incrustado en una transacción de Bitcoin OP_RETURN. Dijo que donaría personalmente 200.000 dólares y trabajaría para recaudar fondos adicionales, con el objetivo de recuperar la mayor cantidad posible de las pérdidas y potencialmente compensar íntegramente a los usuarios afectados.

Cómo se desarrolló el exploit de MAYAChain

Maya Protocol es una red cross-chain creada a partir del código abierto de THORChain y diseñada para complementarlo. CACAO es el token de gas y liquidación de MAYAChain, y está emparejado con los activos compatibles en sus pools de liquidez. 

Según el análisis, la transacción sobrescribió los registros que rastreaban las transferencias salientes, lo que provocó que las transferencias fueran clasificadas como desaparecidas. Esto activó un mecanismo de protección contra robos, que calculó incorrectamente la compensación para el pool de baja liquidez de Maya en Arbitrum Chainlink (ARB.LINK) y le acreditó erróneamente 49,45 millones de CACAO.

Relacionado: BitBox corrige fallos «graves» de sus carteras que podrían poner los fondos en riesgo

La transferencia destinada a financiar ese crédito falló porque la reserva de Maya no tenía suficiente CACAO, pero el saldo inflado del pool permaneció. A continuación, el atacante añadió una liquidez insignificante, adquirió el 99,93 % del pool y retiró 48,87 millones de CACAO de Asgard, que mantiene los activos del protocolo.  

El investigador independiente de seguridad de blockchain Vini Barbosa resumió los hallazgos y señaló que CACAO cayó un 88,7 %, desde aproximadamente 0,115 dólares hasta 0,013 dólares durante el incidente. 

Aalux dijo que el equipo buscaría el retorno de los fondos robados mediante una recompensa por errores y trabajaría para restaurar la liquidez. 

Revista: Los «rumores fabricados» sobre el fundador de BitMart y las bStocks de Binance dominan: Asia Express