Подозреваемый биткоин-адрес, связанный с эксплойтом протокола Maya от 18 августа, по состоянию на 21 августа всё ещё содержал около 20,8273 BTC без исходящих транзакций, при этом ни один опубликованный план восстановления не учитывал гораздо более масштабный предполагаемый ущерб, нанесённый пулам кросс-чейн протокола ликвидности.
Публичные данные о Bitcoin показали, что на адрес поступило 20,82731228 BTC, потрачено 0 BTC, подтверждено 11 транзакций, и ни одна не ожидает обработки в mempool. Десять первоначальных депозитов на общую сумму 20,82730682 BTC поступили в 17:32:18 UTC 18 августа, а более поздняя транзакция на 546 сатоши незначительно увеличила общую сумму. При текущей цене Bitcoin баланс составлял около 1,59 миллиона долларов.
Основатель Maya Protocol Aaluxx изначально заявил, что сеть, вероятно, потеряла около 20 BTC (на тот момент примерно 1,4 миллиона долларов) плюс около 300 000 долларов в других активах. Он пообещал устранить инцидент и полностью восстановить средства.
Почему замена 20 BTC не восстановит пулы полностью
Техническая реконструкция от SigIntZero связала эксплойт с шестью ошибками в учёте и обработке состояния, объединёнными в одну транзакцию из 23 сообщений. Согласно отчёту, перезаписанное исходящее состояние создало ложный сигнал о недостающем переводе, активировав компенсационный механизм, который зачислил около 49,45 миллиона CACAO в пул ARB.LINK с низкой ликвидностью, хотя резервы Maya содержали лишь около 168 000 CACAO.
Перевод из резерва не удался, но завышенный баланс сохранился. После внесения незначительной ликвидности злоумышленник получил около 99,93% долей владения пулом и вывел примерно 48,87 миллиона CACAO, прежде чем обменять их на активы, хранящиеся в других пулах MAYAChain.
SigIntZero оценил, что активы на сумму около 1,36 миллиона долларов были перемещены на внешние сети, а примерно 291 000 долларов остались в MAYAChain, в результате чего общая стоимость под контролем злоумышленника составила от 1,65 до 1,7 миллиона долларов.
Отдельно пулы понесли ущерб в размере 10,9 миллиона долларов. Анализ CryptoSlate связал около 6,4 миллиона долларов с переоценкой CACAO и около 2,9 миллиона долларов с арбитражем после падения токена с примерно 0,115 до 0,013 доллара — снижение на 88,7%.
Сообщается, что Maya надеется на возврат средств через программу bug bounty, а в противном случае может попытаться возместить примерно 20 BTC за счёт инвестиций в Aztec Chain и других источников. Даже если этот Bitcoin будет возвращён или заменён, это покроет лишь часть ущерба. На момент публикации Maya публично не определила, какие оставшиеся потери она восстановит и кто возьмёт на себя разрыв, образовавшийся из-за переоценки CACAO и торгов во время кризиса.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Liam 'Akiba' Wright
