Maya Protocol stoppt nach Exploit, der Pools im Wert von 11 Millionen Dollar trifft

Die Cross-Chain-Pools von MAYAChain gerieten durch sechs Softwarefehler aus dem Gleichgewicht; neben Bitcoin und Ether spielte auch der CACAO-Kurs eine große Rolle bei den Schäden.

Wichtigste Erkenntnisse

• Maya Protocol hat MAYAChain nach einem Exploit gestoppt, bei dem Softwarefehler ein falsches Gleichgewicht in einem Liquiditätspool verursachten.
• Der Angreifer stahl rund 20 BTC und andere Assets; der Gesamtschaden in den Pools belief sich auf etwa 11 Millionen Dollar.
• Das Team arbeitet an einem Fix und will Swaps erst wieder aufnehmen, nachdem die Sicherheitsprobleme behoben sind.

Das Cross-Chain-Liquiditätsprotokoll Maya Protocol hat sein MAYAChain-Netzwerk gestoppt, nachdem eine Reihe von Softwarefehlern ein falsches Gleichgewicht in einem Liquiditätspool erzeugt hatte. Dadurch konnte ein Angreifer fast 1,7 Millionen Dollar (1,5 Millionen Euro) an Bitcoin und andere Assets abziehen, während sich der Gesamtschaden in den Pools auf etwa 11 Millionen Dollar (9,5 Millionen Euro) belief.

Founder AaluxxMyth sagte auf X, dass 20 BTC entwendet wurden, was rund 1,4 Millionen Dollar (1,2 Millionen Euro) entspricht, plus weitere etwa 300.000 Dollar (259.200 Euro) an anderen Assets. Nach Angaben des Teams wurde der Handel gestoppt, um den Schaden zu begrenzen, und es wird an einem Fix gearbeitet, bevor Swaps wieder aufgenommen werden.

Wie der Angriff funktionierte

MAYAChain ist ein kleineres Cross-Chain-Trading-Netzwerk innerhalb des breiteren Maya-Ökosystems. Nutzer können dort Assets wie Bitcoin und Ether swappen, ohne zuerst über eine zentrale Krypto-Exchange zu gehen. Die Pools werden mit Krypto gefüllt, während CACAO das gemeinsame Asset ist, das diese Märkte miteinander verbindet.

Aus einer technischen Rekonstruktion geht hervor, dass sechs Bugs zusammenkommen mussten, bevor der Angriff erfolgreich sein konnte. Es begann damit, dass MAYAChain glaubte, eine ausgehende Transaktion sei verschwunden, und Code aktivierte, der eigentlich dazu gedacht ist, einen Liquiditätspool nach einem Diebstahl zu entschädigen.

Diese Sicherheitsfunktion berechnete die Entschädigung jedoch falsch. Es wurden etwa 49 Millionen CACAO zu einem kleinen Pool hinzugefügt, während die Reserve von MAYAChain nur rund 168.000 CACAO enthielt und diese Zahlung daher nicht tragen konnte. Die Überweisung schlug fehl, aber ein anderer Bug sorgte dafür, dass der neue Saldo bereits in den Aufzeichnungen des Netzwerks gespeichert wurde.

Schaden nahm weiter zu

Danach zahlte der Angreifer einen kleinen Betrag in den gestörten Pool ein und erhielt so mehr als 99 Prozent dieses Pools. Anschließend wurden 48,87 Millionen CACAO direkt abgezogen und in Bitcoin, Ether und andere Assets in den Pools von MAYAChain umgewandelt.

On-Chain-Daten zeigen, dass 20,83 BTC im Wert von etwa 1,34 Millionen Dollar (1,2 Millionen Euro) an die Bitcoin-Adresse des Angreifers gesendet wurden. Die Analyse bestätigte außerdem, dass für etwa 1,36 Millionen Dollar (1,2 Millionen Euro) an Assets auf externe Blockchains verschoben wurden, während weitere 8,87 Millionen CACAO in der MAYAChain-Wallet des Angreifers verblieben.

CACAO selbst stürzte während des Angriffs ab. Der Token notierte vor dem Exploit bei rund 0,115 Dollar (0,099 Euro) und fiel auf ein Tief von 0,013 Dollar (0,011 Euro), ein Rückgang von fast 89 Prozent, bevor sich der Kurs wieder auf etwa 0,03 Dollar (0,026 Euro) erholte. Das verursachte zusätzlichen Schaden, weil Arbitragehändler den plötzlich günstigen Token kauften und ihn wieder gegen Bitcoin, Ether, Stablecoins und andere Assets aus den Pools eintauschten.

Warum das relevant ist

Der Fall zeigt, wie anfällig Cross-Chain-Liquidität sein kann, wenn mehrere Fehler gleichzeitig zusammenkommen. Maya Protocol nutzt wie andere Cross-Chain-Netzwerke eine auf dem Cosmos SDK basierende Struktur und ein Threshold Signature Scheme, um Transaktionen gemeinsam signieren zu lassen, doch das verhindert keine Fehler in der Buchhaltung oder in Kompensationsmechanismen.

Für europäische Krypto-Leser ist vor allem relevant, dass der Gesamtschaden nicht dem Betrag entspricht, der direkt gestohlen wurde. Maya Protocol schätzt, dass der Poolwert um etwa 10,9 Millionen Dollar (9,4 Millionen Euro) gefallen ist, davon hingen rund 6,4 Millionen Dollar (5,5 Millionen Euro) mit dem niedrigeren CACAO-Preis zusammen und weitere 2,9 Millionen Dollar (2,5 Millionen Euro) mit Arbitrage auf die Preisverzerrungen. Das Team hofft, dass der Angreifer die Gelder im Austausch gegen eine Bug Bounty zurücksendet, und sagt andernfalls, die rund 20 BTC über Investitionen in Aztec Chain und andere Mittel ersetzen zu wollen.