Кросс-чейн DEX Maya Protocol, форк кода THORChain, среди ночи встал колом: атакующий связал в цепочку сразу шесть багов в учёте транзакций и ликвидности, обманул систему и вывел реальные активы из пула, которого по факту не существовало. Прямой профит хакера — около 20 BTC ($1,4 млн) плюс порядка $300 тыс. в других активах, итого ~$1,7 млн. Но это только вершина: из-за последовавшего арбитража и обвала токена CACAO суммарные потери пулов ликвидности оцениваются уже в $10,9 млн.

Механика атаки — почти учебник по тому, как маленькие баги складываются в катастрофу. Через манипуляции с trade account, обработкой исходящих транзакций и расчётом пулов атакующий добавил незначительную ликвидность, получил контроль над 99,93% пула и вывел из Asgard-хранилища почти 50 млн токенов CACAO, которые никогда не были реально profund. Токен обвалился с $0,115 до $0,013 — минус 88,7% — прежде чем частично отскочить к $0,03.

Сооснователь протокола под ником Aaluxx подтвердил инцидент в X, поблагодарил валидаторов за быструю реакцию и сообщил, что команда уже нашла уязвимость и готовит патч. Сработал экстренный механизм Mimir: сеть встала на глобальную паузу, депозиты и выводы заморожены across всех пулов, пока идёт расследование. TVL протокола до атаки держался в районе $15 млн — то есть удар пришёлся почти на всю ликвидность разом.

Для активных участников Web3 это уже не первый звонок: в мае сама THORChain пережила похожий инцидент на $10,8 млн (позже пересчитанный до $7,4 млн), после чего заморозила интеграцию с Monero. Кросс-чейн-инфраструктура, которая как раз и должна убирать посредников между блокчейнами, снова оказалась самым уязвимым звеном — и снова из-за комбинации мелких, по отдельности не критичных багов. Пока сеть на паузе, а команда чинит код, держателям CACAO и тем, кто фармил в пулах Maya, остаётся следить за официальными апдейтами — если ты был в позиции на протоколе, самое время проверить, что происходит с твоими средствами.