MAYAChain stoppt Netzwerk nach mutmaßlichem Exploit im Wert von 1.700.000 US-Dollar

[Update 09:25 UTC, 19. Aug.: Ergänzt Details zur Mechanik des Exploits und seinen Auswirkungen auf die Liquiditätspools von MAYAChain.

Update 06:57 UTC, 20. Aug.: Ergänzt Kommentare von Maya-Protocol-Mitgründer Aalux.]

Die dezentrale Cross-Chain-Kryptobörse (DEX) Maya Protocol hat ihr Netzwerk angehalten, nachdem ein Angreifer eine Reihe von Softwarefehlern ausgenutzt hatte, um schätzungsweise 1,7 Millionen US-Dollar in Kryptowährungen zu erbeuten.

Am Mittwoch sagte der pseudonyme Mitbegründer von Maya Protocol, Aalux sagte, der Angreifer habe etwa 20 Bitcoin im Wert von 1,4 Millionen US-Dollar sowie weitere Vermögenswerte im Wert von 300.000 US-Dollar gestohlen. Er sagte, die Aussetzung habe weiteren Schaden verhindert, und das Team habe begonnen, an einer Lösung zu arbeiten, um die Swaps wieder aufzunehmen.

Eine vorläufige technische Analyse, die von Aalux geteilt wurde, führte den Vorfall auf sechs miteinander verkettete Fehler in den Bereichen Handelskonten, Verarbeitung ausgehender Transaktionen und Berechnungen von Liquiditätspools zurück. 

Während die Analyse die Beute des Angreifers auf etwa 1,7 Millionen US-Dollar bezifferte, schätzte sie den Wertverlust der Pools von MAYAChain auf etwa 10,9 Millionen US-Dollar, einschließlich Verlusten durch Arbitrage und den Zusammenbruch von CACAO.

Aalux sagte gegenüber Cointelegraph, das Team habe den Angreifer über eine in eine Bitcoin-OP_RETURN-Transaktion eingebettete Nachricht kontaktiert. Er sagte, er werde persönlich 200.000 US-Dollar spenden und daran arbeiten, weitere Mittel aufzubringen, mit dem Ziel, so viel wie möglich von den Verlusten zurückzuerlangen und betroffene Nutzer möglicherweise vollständig zu entschädigen.

Wie sich der Exploit von MAYAChain entwickelte

Maya Protocol ist ein Cross-Chain-Netzwerk, das auf dem Open-Source-Code von THORChain aufbaut und dieses ergänzen soll. CACAO ist der Gas- und Abwicklungs-Token von MAYAChain und wird in dessen Liquiditätspools mit unterstützten Vermögenswerten gepaart. 

Der Analyse zufolge überschrieb die Transaktion Datensätze zur Nachverfolgung ausgehender Transfers, wodurch Transfers als fehlend eingestuft wurden. Dadurch wurde ein Diebstahlschutzmechanismus aktiviert, der die Entschädigung für Mayas Liquiditätspool mit geringer Liquidität auf der Arbitrum Chainlink (ARB.LINK) falsch berechnete und ihm fälschlicherweise 49,45 Millionen CACAO gutschrieb.

Verwandt: BitBox behebt „schwerwiegende“ Wallet-Fehler, die Gelder gefährden könnten

Die zur Finanzierung dieser Gutschrift bestimmte Überweisung schlug fehl, weil Mayas Reserve nicht genügend CACAO enthielt, der aufgeblähte Poolbestand blieb jedoch bestehen. Der Angreifer fügte anschließend eine vernachlässigbare Menge an Liquidität hinzu, erwarb 99,93 % des Pools und zog 48,87 Millionen CACAO aus Asgard ab, wo Protokollvermögenswerte gehalten werden.  

Der unabhängige Blockchain-Sicherheitsforscher Vini Barbosa fasste die Ergebnisse zusammen und merkte an, dass CACAO während des Vorfalls um 88,7 % von etwa 0,115 US-Dollar auf 0,013 US-Dollar fiel. 

Aalux sagte, das Team werde über ein Bug-Bounty-Programm die Rückgabe der gestohlenen Gelder anstreben und daran arbeiten, die Liquidität wiederherzustellen. 

Magazin: „Erfundene Gerüchte“ über den BitMart-Gründer, Binance bStocks dominieren: Asia Express