Злоумышленник вывел из протокола 20,83 биткоинов стоимостью около $1,4 млн, а также другие цифровые активы примерно на $300 000. Атака стала возможна из-за сочетания шести взаимосвязанных ошибок в коде — они затрагивали торговые счета, обработку исходящих транзакций и расчет ликвидности пулов, уточнили эксперты PeckShield.

В рамках одной транзакции хакер отправил 23 сообщения и вызвал некорректное срабатывание механизма защиты. Затем искусственно увеличил баланс пула с низкой ликвидностью и вывел 48,87 млн токенов CACAO из модуля Asgard, где хранятся активы протокола.

На фоне атаки курс CACAO снизился на 88,7% — с $0,115 до $0,013, после чего частично восстановился. Совокупное сокращение ликвидности пулов команда проекта оценила в $10,9 млн. В сумму включены не только украденные средства, но и потери, связанные с арбитражными операциями и реакцией участников рынка.

Основатель Maya Protocol, скрывающийся под псевдонимом AaluxxMyth, сообщил о приостановке операций во всей сети. Разработчики локализовали уязвимость и готовят обновление, после которого торговлю планируется возобновить.

Команда проекта заявила, что располагает ресурсами для покрытия дефицита. Один из рассматриваемых вариантов — привлечь инвестиции через партнерскую сеть Aztec Chain и таким образом восстановить ликвидность пострадавших пулов.

Разработчики предложили злоумышленнику вознаграждение и статус «белого хакера» в обмен на возврат 20 биткоинов. По их оценке, возвращение активов в пулы способно вернуть стоимость токена CACAO к уровню около $0,115.

Ранее сингапурский платежный сервис Triple-A, предоставляющий бизнесу инфраструктуру для расчетов в стейблкоинах и других криптоактивах, сообщил о хакерской атаке. Ущерб от инцидента оценили в $11,8 млн.

Читать материал на Bits.media