Maya协议因软件漏洞导致约170万美元资产异常流出

事件概述

跨链流动性协议Maya Protocol近日暂停了其MAYAChain网络运行。该决定源于一系列软件漏洞导致一个流动性池出现虚假余额，使得约170万美元的比特币及其他资产被提取。根据项目方在X平台发布的信息，被提取的资产包括20个比特币（约140万美元）以及约30万美元的其他代币。

漏洞细节

技术分析显示，本次事件涉及六个软件漏洞的连锁触发。初始环节是MAYAChain错误地判定一笔出账交易丢失，随后触发了旨在补偿流动性池的代码机制。然而该补偿机制计算出现偏差，向一个规模较小的池子添加了约4900万枚CACAO代币，而MAYAChain储备中仅持有约16.8万枚CACAO，无法支撑该笔支付。

交易失败后，有技术漏洞导致新的余额已被保存在网络记录中，且系统未在支付失败时撤销变更。攻击者随后向该失衡的池子存入极小量代币，获得了超过99%的池份额，并立即提取了4887万枚CACAO，随后将这些代币兑换为比特币、以太坊等MAYAChain池中的资产。

资金流向与影响

链上记录显示，有20.83个比特币（约134万美元）被发送至攻击者的比特币地址。分析确认，转入外部区块链的资产约136万美元，另有887万枚CACAO仍留在攻击者的MAYAChain钱包中。CACAO代币价格在事件前约为0.115美元，事件后最低跌至0.013美元，跌幅近89%，随后回升至约0.03美元。

据技术分析估算，攻击者直接提取的资产约165万美元（含仍在链上的代币），而流动性池总价值下降约1090万美元，其中约640万美元源于CACAO本身价值下跌，约290万美元来自套利交易者利用价格偏差进行的操作。

项目方应对措施

MAYAChain团队表示，希望攻击者能以漏洞赏金形式归还资金。若资金未归还，团队将通过Aztec Chain等投资方式替换约20个比特币的损失。团队同时表示，修复软件本身并不能直接恢复池子，因为通过漏洞创建的CACAO已被兑换成其他MAYAChain市场资产，并与普通流动性提供者的代币混合。

MAYAChain是一个相对较小的跨链交易网络，允许用户无需通过中心化交易所即可交换比特币和以太坊等资产。其生态中CACAO代币作为连接各市场的通用资产。

信息来源：CoinDesk