Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
A exploração de US$ 1,36 milhão do MAYAChain gerou quase US$ 11 milhões em danos ao pool
O invasor do MAYAChain movimentou cerca de US$ 1,36 milhão em ativos tangíveis para cadeias externas, enquanto o impacto estimado nos pools de liquidez da rede se aproximou de US$ 11 milhões.
O valor de US$ 1,36 milhão rastreia ativos que deixaram o sistema, incluindo cerca de 20,83 BTC. A estimativa mais ampla capta uma cascata dentro dos pools: a contabilidade falsa criou um enorme saldo CACAO, esse saldo tornou-se retirável e o colapso subsequente do CACAO alterou o preço da liquidez restante da rede.
O Protocolo Maya opera o MAYAChain como uma rede de liquidez cruzada onde os usuários negociam contra ativos agrupados. Seu token CACAO conecta esses mercados, o que permitiu que uma falha que começou em um pool se espalhasse pelo valor registrado em outro lugar.
Fundador Aaluxx disse em 18 de agosto que a equipe consertaria o incidente e “se recuperaria totalmente”. No encerramento dos relatórios de 20 de agosto, os canais oficiais do Maya ainda não haviam publicado um reinício confirmado do swap, o patch implantado na rede principal, um total de recuperação de ativos, uma alocação final de perdas ou termos de compensação abrangentes para provedores de liquidez.
Como um saldo não financiado tornou-se retirável
A exploração transformou um lançamento contábil que a reserva nunca poderia financiar em uma posição de liquidez que o invasor poderia usar.
Pesquisador independente Vini Barbosa rastreou a maior parte da atividade para uma transação MsgDeposit contendo 23 mensagens. Em sua reconstrução, a mensagem final DONATE substituiu o estado anterior do ObservedTxVoter, incluindo a altura de saída usada para corresponder às transações.
Essa altura errada fez com que o MAYAChain classificasse as transferências de saída legítimas como ausentes. A classificação ativou a lógica de detecção de roubo projetada para compensar um pool após uma transferência perdida.
O caminho de compensação calculou então um subsídio para um pool ARB quase vazio, sem limitar o valor à profundidade do pool. Barbosa disse que o cálculo registrou cerca de 49,45 milhões de CACAO de valor, embora a reserva contivesse apenas cerca de 168 mil CACAO.
A reserva não tinha tokens suficientes para completar a transferência do módulo, mas o novo estado do pool já havia sido confirmado. Segundo Barbosa, o dirigente continuou após a transferência fracassada e deixou o saldo inflado no lugar.
O invasor adicionou uma quantidade insignificante de liquidez ao pool distorcido e recebeu cerca de 99,93% de suas unidades de propriedade, permitindo uma retirada de aproximadamente 48,87 milhões de CACAO.
A altura sobrescrita produziu falsa detecção de roubo, o sinal falso gerou um subsídio excessivo, o subsídio falhado sobreviveu nos registros do pool e o saldo registrado apoiou então uma reivindicação de liquidez dominante.
A reconstrução de Barbosa atribui a façanha a esse caminho combinado. Ele estimou os ativos tangíveis transferidos para redes externas em cerca de US$ 1,36 milhão, liderado por 20,83 BTC. Sua estimativa para o impacto em toda a rede foi de cerca de US$ 11 milhões.
O token caiu de cerca de US$ 0,115 para US$ 0,013 durante o incidente, uma queda de 88,7%.
CACAO representa um lado dos pools de liquidez emparelhados do MAYAChain. Um declínio acentuado no seu preço em dólares reduz o valor medido do inventário CACAO em todo o sistema, mesmo quando esses tokens permanecem dentro de um pool.
O equilíbrio criado pela exploração e as negociações executadas contra preços distorcidos do pool acrescentaram outra camada de impacto no pool.
O transporte externo do invasor original e o valor perdido nos pools são medidas separadas. Um segue os ativos enviados para fora do MAYAChain, enquanto o outro captura como uma falha contábil alterou o valor e a composição da liquidez que permaneceu disponível para os fornecedores.
Maya ainda não tinha publicado um livro-razão final dividindo o total entre a extracção de activos tangíveis, a reavaliação do CACAO e as transacções efectuadas durante a deslocação. A escala e a direção do multiplicador são claras, enquanto permanece pendente uma alocação exata de dólares para cada categoria.
Para os fornecedores de liquidez, essa distinção determina o que seria necessário para a recuperação. A substituição de 20,83 BTC restauraria um conjunto de ativos, enquanto a contabilidade do pool, a avaliação do CACAO e a alocação de perdas comerciais ainda precisariam de seu próprio tratamento.
O que “recuperar integralmente” tem que cobrir
Uma recuperação total tem pelo menos três partes: devolução ou substituição de activos tangíveis, reparação dos saldos dos pools e definição de como o impacto restante é distribuído entre os fornecedores de liquidez e outros participantes.
de Maia documentação de parada de rede diz que HALTTRADING interrompe a negociação enquanto MAYAChain pode continuar produzindo blocos. A vivacidade da cadeia mostra que o consenso está em andamento, mas a disponibilidade do swap depende dos controles de negociação.
Até 20 de agosto, os canais públicos do Maya ainda não tinham fornecido o tempo de reinicialização confirmado, a versão do patch implantada, o total de ativos recuperados, o cálculo final do pool e o escopo de compensação do provedor de liquidez necessário para transformar a promessa de recuperação em um acordo definido.
A história pública do MAYANode mostra que a implementação de suas contas comerciais extraído de solicitações de mesclagem THORChain. Isso estabelece uma linhagem de desenvolvimento partilhada em torno das Contas Comerciais.
A exploração completa do MAYAChain dependia de várias condições alinhadas entre o estado da transação, correspondência de saída, cálculos de subsídios, ordenação do estado do pool e comportamento de reversão. A documentação pública até o momento não demonstrava que o THORChain segue o mesmo caminho completo.
O multiplicador de perdas da MAYAChain é tanto uma história de contabilidade e estrutura de mercado quanto uma história de roubo. O invasor movimentou cerca de US$ 1,36 milhão em ativos tangíveis, mas o saldo falso mudou a propriedade do pool e chegou junto com um colapso de 88,7% no token que conecta os mercados da rede.
Para os fornecedores de liquidez, a actualização decisiva será a definição de “pleno” de Maya: quais os activos que retornam, como os saldos dos pools são reconstruídos e quem absorve as alterações de valor e transacciona que a recuperação não pode simplesmente retroceder.
