O Protocolo Maya interrompeu sua rede cross-chain depois que um atacante explorou seis falhas de software interligadas para roubar cerca de US$ 1,7 milhão em Bitcoin e outros ativos cripto.
Resumo
- O Protocolo Maya interrompeu sua rede depois que um atacante roubou cerca de US$ 1,7 milhão em cripto.
- A exploração encadeou seis falhas de software e usou uma única transação contendo 23 mensagens.
- Cerca de US$ 1,36 milhão foi movido para blockchains externos, enquanto outros US$ 291.000 permaneceram em posições controladas pelo atacante.
- CACAO despencou 88,7% durante o incidente enquanto o Protocolo Maya começou a trabalhar em correções para restaurar as trocas.
O cofundador pseudônimo do Protocolo Maya, Aalux, disse na quarta-feira que o atacante levou cerca de 20 Bitcoins, no valor de aproximadamente US$ 1,4 milhão, além de outros US$ 300.000 em ativos antes que o protocolo ativasse uma paralisação global para impedir mais perdas.
A equipe desde então começou a trabalhar nas correções necessárias para restaurar as trocas, enquanto uma análise técnica preliminar compartilhada por Aalux rastreou o ataque a uma cadeia de bugs envolvendo contas de negociação, processamento de transações de saída e cálculos de pool de liquidez.
Exploração do Protocolo Maya usou seis bugs encadeados
De acordo com a análise preliminar, o atacante combinou seis falhas separadas em vez de depender de uma única vulnerabilidade, permitindo que várias partes do sistema de transações e contabilidade da MAYAChain fossem manipuladas dentro do mesmo ataque.
Uma única transação contendo 23 mensagens foi usada para executar a sequência. A análise disse que o atacante primeiro acionou incorretamente o mecanismo de detecção de roubo do protocolo antes de manipular um pool com liquidez limitada.
Ao inflar o valor do pool de baixa liquidez, o atacante conseguiu retirar 48,87 milhões de tokens CACAO do módulo Asgard da Maya, de acordo com os achados técnicos.
Os módulos Asgard detêm ativos usados pelo protocolo para processar trocas cross-chain. O Protocolo Maya permite que os usuários troquem ativos nativos entre diferentes blockchains sem depender de uma exchange centralizada tradicional, tornando o cofre da rede e os sistemas de contabilidade de liquidez centrais para liquidar transações.
A contabilidade preliminar estimou que aproximadamente US$ 1,36 milhão em ativos foram, em última análise, movidos para blockchains externos. Outros US$ 291.000 permaneceram sob o controle do atacante por meio de participações em CACAO e posições de conta de negociação na MAYAChain.
Aalux disse que a paralisação global conteve o incidente e evitou danos adicionais enquanto os desenvolvedores investigavam os componentes afetados e preparavam uma correção.
A resposta se assemelha a medidas de emergência usadas por outros protocolos cross-chain quando vulnerabilidades ameaçam ativos mantidos em várias redes. Em junho, a Axelar desativou rotas de ponte conectadas à Secret Network depois que aproximadamente US$ 4,7 milhões em ativos em ponte foram levados por meio de uma exploração ligada a um contrato inteligente ICS-20 do lado da Secret.
O comitê de emergência da Axelar fechou as conexões afetadas enquanto a investigação continuava. O protocolo de interoperabilidade disse na época que sua infraestrutura principal não havia sido comprometida e que o problema parecia isolado ao contrato inteligente que suporta a conexão com a Secret Network.
Preço do CACAO colapsou durante o ataque
O pesquisador independente de segurança blockchain Vini Barbosa, resumindo os achados preliminares, disse que o CACAO caiu 88,7% durante o incidente, caindo de cerca de US$ 0,115 para US$ 0,013.
O declínio do CACAO também complicou as estimativas dos danos econômicos totais, porque o ataque afetou tanto os ativos diretamente extraídos do protocolo quanto o valor de mercado da liquidez remanescente em seus pools.
De acordo com a análise técnica, o declínio total no valor do pool atingiu aproximadamente US$ 10,9 milhões. No entanto, o relatório não classificou o valor total como fundos roubados, porque o cálculo também incluiu atividades de arbitragem e a forte desvalorização do CACAO durante o incidente.
O valor estimado diretamente movido para fora do sistema foi consideravelmente menor, com cerca de US$ 1,36 milhão transferidos para outras blockchains e aproximadamente US$ 291.000 permanecendo em posições controladas pelo atacante.
Os sistemas cross-chain enfrentaram vários ataques este ano, nos quais o valor inicialmente afetado por uma vulnerabilidade diferiu do valor finalmente extraído. O Echo Protocol, por exemplo, pausou transações cross-chain em maio, depois que um atacante cunhou cerca de US$ 76,7 milhões em eBTC não autorizado na Monad. Pesquisadores de segurança estimaram posteriormente que aproximadamente US$ 816.000 em valor real foram roubados, apesar da cunhagem não autorizada muito maior.
O incidente da Echo foi vinculado por pesquisadores de segurança a uma chave privada administrativa comprometida. O cofundador da Monad, Keone Hon, disse na época que a rede Monad subjacente continuou operando normalmente, enquanto a Curvance pausou o mercado eBTC da Echo afetado como precaução.
Explorações de DEX cross-chain forçaram paralisações de rede semelhantes
A decisão do Maya Protocol de interromper a atividade da rede também segue uma série de incidentes de segurança envolvendo infraestrutura de negociação cross-chain em 2026.
Em maio, o crypto.news relatou uma exploração da THORChain que forçou a DEX cross-chain a pausar as negociações e ativar uma parada de emergência global, depois que o investigador de blockchain ZachXBT estimou perdas de pelo menos US$ 10 milhões em várias redes.
A THORChain determinou posteriormente que aproximadamente US$ 10,7 milhões foram drenados de um de seus cinco cofres. O protocolo disse que um operador de nó recém-rotacionado explorou uma vulnerabilidade em seu Esquema de Assinatura de Limiar GG20 e reconstruiu uma chave privada, enquanto verificações automáticas de solvência interromperam a assinatura e a negociação cross-chain em minutos.
Os operadores de nó aprovaram subsequentemente o plano de recuperação ADR028, que usou liquidez de propriedade do protocolo para absorver perdas sem cunhar novo RUNE, vender RUNE ou diluir os detentores existentes. Os desenvolvedores também prepararam a versão 3.19.0 com medidas de segurança adicionais, incluindo um mecanismo projetado para colocar em quarentena cofres comprometidos.
Após mais de um mês offline, a THORChain retomou a negociação na rede em 23 de junho. Swaps, assinatura, rotação, ativos garantidos, ativos comerciais e funções de provedores de liquidez foram restaurados depois que o protocolo disse que cofres e chaves compartilhadas foram verificados como parte do processo de reinicialização.
Outro protocolo cross-chain, o Transit Finance, perdeu cerca de US$ 1,88 milhão em maio, após uma exploração sinalizada pela empresa de segurança blockchain PeckShield. No momento do relatório inicial, o Transit Finance não havia divulgado um post-mortem técnico detalhado ou plano de recuperação.
Maya Protocol trabalha na restauração de swaps
Para o Maya Protocol, o trabalho imediato está focado em corrigir as vulnerabilidades identificadas na revisão preliminar antes que os swaps cross-chain possam ser retomados.
Os achados técnicos indicam que o ataque dependeu de vários componentes interagindo em sequência, incluindo o comportamento da conta de negociação, o processamento de transações de saída e os cálculos de liquidez. A transação de 23 mensagens permitiu que o atacante combinasse essas fraquezas, desencadeasse uma resposta de roubo incorreta e manipulasse o pool de baixa liquidez antes de extrair CACAO de Asgard.
O incidente da Maya ocorre enquanto as preocupações de segurança em torno da infraestrutura cross-chain permanecem focadas no número de componentes necessários para mover ativos entre redes blockchain separadas. Uma revisão de pontes cross-chain do crypto.news em julho observou que tais sistemas podem usar designs de bloqueio e cunhagem, queima e cunhagem ou baseados em liquidez, enquanto a verificação de transações pode depender de validadores, arranjos de múltiplas assinaturas ou mecanismos criptográficos.
O Protocolo Maya não forneceu um cronograma para restaurar totalmente as trocas nas informações disponíveis até agora. Aalux disse que a paralisação global conteve danos adicionais e que o protocolo estava trabalhando nas correções necessárias para trazer as operações de rede de volta ao ar.
