Maya Protocol suspendeu o MAYAChain após ataque com seis bugs drenar US$ 1,7 mi em Bitcoin e outros ativos; CACAO caiu cerca de 89%.
- Atacante explorou seis falhas encadeadas para inflar pool de liquidez em 49,45 milhões de CACAO e controlar 99,93% dos ativos
- Total extraído estimado em US$ 1,65 milhão: US$ 1,36 mi enviados a blockchains externas e US$ 291 mil remanescentes on-chain
- CACAO despencou cerca de 89% e valor total das pools do MAYAChain caiu aproximadamente US$ 10,9 milhões
- Bugs passaram sem detecção por três a quatro anos mesmo após auditorias da Halborn e da Fable 5
A rede de liquidez cross-chain (entre diferentes blockchains) Maya Protocol suspendeu suas operações nesta terça-feira, 19 de agosto, após um atacante explorar seis falhas de software e extrair cerca de US$ 1,7 milhão em Bitcoin e outros ativos digitais.
O incidente atingiu o MAYAChain, protocolo descentralizado que permite a usuários trocar criptomoedas como Bitcoin e Ethereum entre blockchains sem depender de uma corretora centralizada. Assim que a equipe identificou o ataque, decidiu interromper a rede para conter os danos e corrigir as vulnerabilidades antes de retomar as operações.
“Não há como dourar a pílula. Provavelmente fomos explorados em 20 BTC (US$ 1,4 milhão) e outros ativos (US$ 300 mil).”
AaluxxMyth (Maya), fundador do Maya Protocol
O relatório pós-mortem divulgado pela equipe detalhou como o ataque funcionou: o invasor explorou seis bugs encadeados para inflar artificialmente o saldo de uma pool de liquidez (reserva de ativos usada para viabilizar trocas) em 49,45 milhões de tokens CACAO. Com isso, chegou a controlar 99,93% da pool e sacou 48,87 milhões de CACAO.
Exploit de R$ 116 mi em carteira física reacende debate sobre autocustódia
“O ataque usou uma única transação MsgDeposit de 23 mensagens para acionar uma falsa detecção de roubo, inflar o saldo de CACAO de uma pool de baixa liquidez via subsídio de corte sem limite e, em seguida, imediatamente entrou e saiu da pool inflada para extrair o valor.”
Equipe Maya Protocol, relatório pós-mortem
Impacto nos ativos e plano de recuperação
Enquanto o atacante convertia os tokens em Bitcoin e outros ativos, o preço do CACAO despencou cerca de 89%, o que limitou o valor total extraído. A estimativa final da equipe aponta US$ 1,65 milhão em criptoativos subtraídos: US$ 1,36 milhão transferidos para blockchains externas e aproximadamente US$ 291 mil remanescentes on-chain.
A carteira Bitcoin do suposto atacante, divulgada publicamente pelo protocolo, recebeu 20,83 BTC, equivalentes a cerca de US$ 1,34 milhão. O colapso do CACAO também derrubou o valor total das pools de liquidez do MAYAChain em cerca de US$ 10,9 milhões.
A equipe afirmou que as seis falhas passaram despercebidas por três a quatro anos, mesmo após auditorias realizadas pelas firmas de segurança Halborn e Fable 5. O fundador reconheceu a necessidade de uma postura mais adversarial na revisão do código.
“Temos de ser ainda mais adversariais e buscar primitivas de código extremamente simples. Já sabíamos que nosso trabalho era difícil, mas a missão vale a pena.”
AaluxxMyth (Maya), fundador do Maya Protocol
SafePal confirma vazamento de dados de 40 mil clientes
O Maya Protocol disse esperar que o atacante devolva os fundos em troca de um bug bounty (recompensa por reporte de vulnerabilidade). Caso a devolução não ocorra, a equipe planeja recuperar os cerca de 20 BTC por meio de investimentos no Aztec Chain e de outros mecanismos, recompondo a pool afetada.
Análise, impacto no Brasil: O episódio reforça os riscos presentes em protocolos DeFi que permitem trocas entre diferentes blockchains, segmento com crescente adoção entre usuários brasileiros de criptomoedas. Investidores com posições em CACAO ou liquidez no MAYAChain devem acompanhar os comunicados oficiais do protocolo antes de tomar qualquer decisão.
O próximo passo concreto é a conclusão das correções pelas equipes técnicas antes da reabertura das operações de swap, sem prazo definido até o momento da publicação desta reportagem.
Fontes: Decrypt
Leia também
- Arthur Hayes assume CEO da Flop Labs e anuncia airdrop para Q4
- Kraken lança cartão de débito nos EUA com cashback em cripto
- Bitpanda leva primeira multa publicada sob MiCA na Europa
