クロスチェーン流動性プロトコルMaya Protocolは、複数のソフトウェア不具合に伴い流動性プール残高が誤計上され、MAYAChainネットワークを停止しました。これにより攻撃者が約170万ドル相当のビットコインとその他資産を流出させ、総額約1100万ドルの損失が発生しました。
創設者の@AaluxxMythはX（旧Twitter）で、約20BTC（140万ドル相当）と約30万ドル相当の資産が流出したと明かしました。被害拡大防止のため全取引を停止し、修正作業を進めていると述べています。
MAYAChainは中央集権取引所を介さずにビットコインやイーサリアムなどの資産交換を可能にする小規模クロスチェーン取引ネットワークで、Mayaエコシステムの一部です。ユーザーはネットワークの暗号資産プールを利用し、共通資産のCACAOトークンを使って取引しています。
攻撃の技術的再構築では、6つのバグが連鎖して作用しました。MAYAChainが誤って処理済みトランザクションを失われたと判定し、盗難補填のために流動性プールへ追加補填を試みたことが攻撃の発端です。
しかし補填額の誤計算により、MAYAChainの準備資産が約168,000CACAOしかないにもかかわらず、約4900万CACAOを小規模プールに加算しました。転送処理は失敗しましたが別のバグで新残高がネットワークに保存され、支払い失敗時の差し戻しが行われず、プールは実際には存在しないトークンを保有しているかのように機能しました。
攻撃者は歪められたプールに少額を預け入れ、99%以上の支配権を獲得すると直ちに4887万CACAOを引き出し、プール内のビットコインやイーサリアム等の資産と交換し始めました。
オンチェーン記録によると約134万ドル相当の20.83BTCが攻撃者のビットコインアドレスに送金され、約136万ドル相当の資産が外部ブロックチェーンへ移動。攻撃者のMAYAChainウォレットには887万CACAOが残っています。
攻撃者の売却によりCACAOは攻撃前の約0.115ドルから最大0.013ドルまで89%下落し、その後約0.03ドルまで回復しました。この急落は直接の流出額を上回る被害をもたらしました。
CACAOの下落に伴い、裁定取引者は安値のトークンを購入し、プール内でビットコインやイーサリアム、ステーブルコインなどに交換しました。技術的再構築では、攻撃者はオンチェーン保有分を含め約165万ドルを得たと推定されますが、プール価値の大幅減少は裁定取引とCACAO価格崩壊によるものでした。
この区別は重要で、プールの損失全額が盗難額とはみなされません。調査ではプール価値減少は約1090万ドルで、そのうち約640万ドルがCACAO価格下落、約290万ドルが価格差を利用した裁定取引の影響でした。
MAYAChainは攻撃者にバグバウンティの代わりに資金返還を求めていますが、返還ない場合はAztec Chain等への投資を通じ約20BTC分を補填する方針を示しています。
ソフトウェア修正だけではプール回復は困難です。攻撃で生成された多くのCACAOが他市場で取引され、通常の流動性提供者のトークンと混在した状態にあります。