クロスチェーン流動性プロトコルのMaya Protocolは、一連のソフトウェア不具合により流動性プール残高が誤って計上されたことを受け、MAYAChainネットワークを停止しました。この問題により、攻撃者が約170万ドル相当のビットコインやその他資産を流出させ、総額約1100万ドルの被害が確認されています。
創設者の@AaluxxMythはX（旧Twitter）で、約20BTC（140万ドル相当）とその他約30万ドル相当の資産が攻撃により流出したと明かしました。被害拡大の防止のため全取引を停止し、スワップ機能の再開前に修正作業を進めていると説明しています。
MAYAChainは、ビットコインやイーサリアムなどの資産を中央集権型取引所を介さずに交換可能な小規模クロスチェーン取引ネットワークであり、より広いMayaエコシステムの一部です。ユーザーはネットワークに預けられた暗号資産のプールを利用して取引し、マーケット間の共通資産としてCACAOトークンを使用しています。
攻撃の技術的再構築によると、6つのバグが連鎖的に作用しました。攻撃は、MAYAChainが誤って送信済みトランザクションを紛失と判断し、盗難後の補填用コードを起動して流動性プールに補填を試みたことが発端です。
ところが、その安全措置は補填額を誤算し、MAYAChainは準備資産として約168,000 CACAOしか保有していないにもかかわらず、小規模プールに約4900万CACAOを追加入金しました。転送処理は失敗したものの、別のバグの影響で新残高がネットワーク記録に反映されました。支払い失敗時に変更が取り消されず、プールは実際に追加されたトークンを保有しているかのように機能しました。
攻撃者はこの歪められたプールに僅かな金額を預け入れたことで99%以上の支配権を取得し、直ちに4887万CACAOを引き出しました。そしてプールに保有されるビットコイン、イーサリアム、他資産を交換し始めました。
オンチェーンの記録によると、約134万ドル相当の20.83 BTCが攻撃者のビットコインアドレスに送金されました。また、分析では約136万ドル相当の資産が外部ブロックチェーンへ移動し、攻撃者のMAYAChainウォレットには887万CACAOが残存していることが確認されています。
攻撃者の売却行為によりCACAOは最大89％暴落し、攻撃前の約0.115ドルから最大0.013ドルまで下落、その後は約0.03ドルまで回復しました。
この価格下落は直接の流出資産以上の被害をもたらしました。CACAOの急落を受け、裁定取引者は安価になったトークンを購入し、MAYAChainプール内でビットコインやイーサリアム、ステーブルコイン、その他資産へと交換を行いました。
技術的再構築では、攻撃者の獲得額はオンチェーン保有トークンも含め約165万ドルと推定される一方、プール価値の大幅な減少は裁定取引とCACAO価格の崩壊に伴うものとしています。
分析により、MAYAChainプールに対する総損失は全額が盗難額とは言えません。事象中のプール価値減少は約1090万ドルで、その内訳は約640万ドルがCACAO価格低下によるもの、約290万ドルが価格差を利用した裁定取引によるものでした。
MAYAChainは攻撃者に対し、バグバウンティではなく資金返還を求めており、返還されない際はAztec Chainなどへの投資を通じ約20BTC分の補填を計画しています。
なお、ソフトウェアの修復のみではプール価値は回復しません。攻撃で生成された多数のCACAOが他のMAYAChain市場で取引され、通常の流動性提供者のトークンと混在しているためです。
