Sinuspinde ng cross-chain liquidity network na Maya Protocol ang mga operasyon noong Martes matapos sinamantala ng isang ataker ang anim na depekto sa software upang makakuha ng humigit-kumulang $1.7 milyon sa Bitcoin at iba pang asset.

Sa isang post sa X na nagpapaliwanag ng nangyari, sinabi ng nagtatag ng Maya Protocol na si AaluxxMyth, na kilala rin bilang Maya, na pinahinto ng team ang network upang pigilan ang pinsala at aayusin ang kahinaan bago ipagpatuloy ang pagpapalitan.

"Walang paraan upang pagandahin ito," isinulat ni Maya sa isang post. "Posibleng nasamantala kami ng 20 BTC ($1.4M) at iba pang asset ($300k)."

Ang Maya Protocol ay nagpapatakbo ng MAYAChain, isang desentralisadong network na nagpapahintulot sa mga user na ipagpalit ang mga cryptocurrency tulad ng Bitcoin at Ethereum sa iba't ibang blockchain nang hindi gumagamit ng sentralisadong palitan.

Sa isang post-mortem report, sinabi ng team sa likod ng Maya Protocol na sinamantala ng ataker ang anim na bug upang palakihin ang isang liquidity pool ng 49.45 milyong CACAO, pagkatapos ay nakakuha ng 99.93% kontrol sa pool at nag-withdraw ng 48.87 milyong CACAO.

“Ginamit ng atake ang isang solong 23-mensaheng transaksyon ng MsgDeposit upang mag-trigger ng maling deteksyon ng "pagnanakaw", palakihin ang balanse ng CACAO ng isang pool na may mababang liquidity sa pamamagitan ng isang uncapped slash subsidy, pagkatapos ay agad na nag-LP (nagtustos ng liquidity) sa at nag-withdraw mula sa pinalaking pool upang makuha ang halaga,” isinulat nila.

Habang ipinagpalit ng ataker ang mga token para sa Bitcoin at iba pang asset, bumagsak ang presyo ng CACAO, nililimitahan ang halaga na tuluyang nakuha. Tinantiya ng team na kinuha ng ataker ang humigit-kumulang $1.65 milyon sa crypto assets, kasama ang $1.36 milyon na inilipat sa panlabas na blockchain at humigit-kumulang $291,000 ang natitira sa on-chain.

Hindi sinabi ng team kung naniniwala silang ginamit ang AI sa atake. Sinabi ni Maya na ang mga bug ay hindi natukoy sa loob ng tatlo hanggang apat na taon sa kabila ng mga audit ng Halborn at Fable 5, idinagdag na kailangan ng team na gumamit ng mas mapanuksong diskarte sa pagrepaso ng code nito.

“Kailangan nating maging mas mapanukso at maghanap ng napakasimpleng primitive ng code,” isinulat ni Maya sa isang follow-up na post. “Alam na naming mahirap ang aming trabaho, ngunit sulit ang misyon.”

Inilathala ng Maya Protocol ang Bitcoin address ng pinaghihinalaang ataker, na nakatanggap ng 20.83 BTC na nagkakahalaga ng humigit-kumulang $1.34 milyon. Tinantiya ng team na humigit-kumulang $1.65 milyon ang kabuuang nakuha at sinabi nitong umaasa sila na maibabalik ang mga pondo kapalit ng isang bug bounty.

Kung hindi, sinabi ni Maya na plano ng team na mabawi ang humigit-kumulang 20 BTC sa pamamagitan ng pamumuhunan sa Aztec Chain at "iba pang paraan" at ibalik ito sa apektadong pool.

Ang balitang ito ay dumating matapos ang ilang malalaking exploit sa DeFi sa mga nakaraang buwan.

Noong Abril, kinulimbat ng mga ataker ang humigit-kumulang $292 milyon mula sa cross-chain bridge ng KelpDAO matapos makompromiso ng isang social engineering attack ang session keys ng isang developer.

Noong Hulyo, nawalan ng humigit-kumulang $18 milyon ang Arbitrum-based perpetuals exchange na Ostium matapos makompromiso ng mga ataker ang isang oracle signer key at minanipula ang price feed nito. Nang maglaon sa buwang iyon, kinulimbat ang AFX Trade ng humigit-kumulang $24 milyon sa isang exploit na nagta-target ng isang USDC bridge na pinapatakbo ng desentralisadong palitan.