Der dezentrale Cross-Chain-Börse Maya Protocol hat am Mittwoch die Operationen eingestellt, nachdem ein Angreifer mehrere Software-Lücken ausnutzte, um schätzungsweise 1,7 Millionen USD an Kryptowährungs-Assets zu entnehmen.
Der pseudonymisierte Mitbegründer von Maya Protocol, Aalux, gab bekannt, dass der Angreifer rund 20 Bitcoin im Wert von 1,4 Millionen US-Dollar sowie weitere 300.000 US-Dollar an anderen digitalen Vermögenswerten gestohlen hatte. Als Reaktion darauf stoppte das Protokoll das weltweite Netzwerk, stellte die Sicherheitslücke ein und begann mit der Entwicklung eines Patches, um die Swap-Funktionalität wiederherzustellen.
Eine vorherige technische Prüfung ergab, dass der Vorfall auf sechs miteinander verbundenen Fehlern zurückzuführen ist, die Handelskonten, die Verarbeitung ausgehenden Transaktionen und Berechnungen des Liquiditätspools betrafen. Der Angreifer führte eine einzige Transaktion durch, die 23 Nachrichten enthielt, wodurch ein falscher Diebstahl-Erkennungsmechanismus ausgelöst wurde. Dadurch konnte der Angreifer einen Pool mit geringer Liquidität aufblähen und 48,87 Millionen CACAO-Tokens aus Mayas Modul Asgard abziehen.
Von dem gesamten gestohlenen Betrag wurde etwa 1,36 Millionen US-Dollar auf externe Blockchains transferiert, während der Angreifer circa 291.000 US-Dollar an CACAO-Token und Handelskontopositionen innerhalb von MAYAChain behielt. Der unabhängige Blockchain-Sicherheitsforscher Vini Barbosa bestätigte, dass der Kurs von CACAO während der Attacke um 88,7 % gesunken ist, von etwa 0,115 US-Dollar auf 0,013 US-Dollar.
Die Analyse schätzt eine breitere Wertminderung des Pools auf 10,9 Millionen USD, wobei diese Zahl jedoch Preisschwankungen durch Arbitrage und die Entwertung von CACAO umfasst und nicht den direkt von dem Angreifer gestohlenen Vermögenswert.
