クロスチェーン流動性プロトコルMaya Protocolは一連のソフトウェア不具合により流動性プール残高が誤って計上され、結果として約170万ドル相当のビットコインやその他資産の流出、総額約1100万ドルの被害が発生しました。この事態を受け、ネットワークのMAYAChainは停止されました。
創設者の@AaluxxMythはX（旧Twitter）で、約20BTC（140万ドル相当）と約30万ドル相当の資産が攻撃で流出したと報告。被害拡大を避けるため、すべての取引停止とスワップ再開前の修正対応に取り組んでいることを明かしました。
MAYAChainはビットコインやイーサリアムなどの資産を中央集権取引所を介さずに交換可能な小規模クロスチェーン取引ネットワークで、Mayaエコシステムの一部です。ユーザーは預け入れた暗号資産のプールを利用し、共通資産としてCACAOトークンを使用しています。
攻撃の技術的解析によると、6つの連鎖するバグが原因でした。MAYAChainが誤ってトランザクションを失われたと判断したことから補填コードが作動。しかし安全措置での補填額を誤算し、保有資産168,000 CACAOに対し約4900万CACAOをプールに加算してしまいました。
転送処理は失敗しましたが、別のバグにより誤った残高がネットワークに保存され、支払い失敗時の変更が元に戻らなかったため、プールは実在しないトークンを保有するかのように機能しました。
攻撃者は歪められたプールに少額資金を預け、99%以上の支配権を取得。直ちに4887万CACAOを引き出し、プール内のビットコイン、イーサリアム、その他資産と交換開始しました。
オンチェーン記録によれば、約134万ドル相当の20.83 BTCが攻撃者のアドレスに送金され、約136万ドル相当の資産が外部ブロックチェーンへ移動。攻撃者ウォレットには887万CACAOが残っています。
攻撃者の売却によりCACAO価格は最大89%下落し、0.115ドルから最大0.013ドルまで暴落後、約0.03ドルまで回復しました。この価格下落が流出資産を上回る被害を引き起こしました。
CACAOの急落を受け裁定取引者が安価なトークンを購入し、プールでビットコインやイーサリアム、ステーブルコインなどに交換。技術解析では攻撃者が約165万ドルの利益を得たと推定される一方、プール価値の大幅減少は裁定取引と価格崩壊が主因となりました。
MAYAChainはプールにおける損失総額約1090万ドルのうち約640万ドルがCACAO価格低下によるもの、約290万ドルが裁定取引によるもので、全額を盗難被害とは見なしていません。また、攻撃者にバグバウンティの代わりに資金返還を求めており、返還なければ約20BTC相当をAztec Chainなどへの投資で補填する計画です。
ソフトウェア修復だけではプール価値は回復せず、攻撃で生成された多数のCACAOが他市場で交換され通常の流動性提供者のトークンと混在している状態が続いています。