Maya Protocol, una rete di liquidità cross-chain che raggruppa e trasferisce asset tra diverse blockchain, ha sospeso le operazioni dopo che degli attaccanti hanno concatenato sei bug distinti per sottrarre circa 1,4 milioni di dollari in Bitcoin e altri asset in pool. Il team ha avviato uno shutdown di emergenza della rete per contenere i danni mentre indaga sull'incidente.

L'attacco non è stato un singolo errore. Descritto per la prima volta da Decrypt, l'exploit ha combinato sei vulnerabilità distinte in un unico percorso d'attacco, il che significa che l'attaccante ha dovuto concatenare più punti deboli in sequenza per arrivare ai fondi. Una catena di più bug è più difficile da individuare in un audit ordinario rispetto a una vulnerabilità isolata, perché ogni singolo difetto può apparire a basso rischio finché non viene collegato al successivo.

Maya stessa è stata lanciata nel 2023 come fork di THORChain guidato dalla community, una rete di liquidità cross-chain attiva da più tempo, quindi l'incidente coinvolge una base di codice operativa da anni e non un progetto del tutto nuovo.

Come si è sviluppato l'exploit

Maya Protocol ha fermato la propria rete dopo che un attaccante ne ha sfruttato i pool di liquidità. Il team è ricorso a un arresto totale appena è stata rilevata la sottrazione di fondi, interrompendo ogni ulteriore transazione sulla catena.

I resoconti di CoinDesk hanno descritto un exploit che sottraeva Bitcoin insieme ad altri asset, con il valore dei pool in calo di circa 11 milioni di dollari durante lo svolgimento dell'attacco. I tempi sono stati compressi: l'exploit è stato rilevato, la perdita confermata e il protocollo arrestato in rapida successione anziché nell'arco di giorni.

Perché l'hack è rilevante per la sicurezza cross-chain

Un arresto dell'intera rete è uno strumento drastico, e il ricorso a questa misura indica che il team ha giudicato la minaccia abbastanza grave da congelare ogni attività anziché applicare una correzione a caldo. Per gli utenti questo significa che fondi e accesso restano di fatto bloccati per la durata delle indagini, senza i normali depositi, swap o prelievi finché la rete non riprende.

La scelta di esprimere il furto in Bitcoin accentua l'impatto. Maya e sistemi di liquidità cross-chain simili custodiscono asset reali su più catene — il Bitcoin detenuto nei pool garantisce l'attività altrove — quindi una violazione del livello di coordinamento si traduce direttamente in perdite effettive anziché in un semplice calo del valore sulla carta dei token.

Lezioni per la sicurezza dei protocolli DeFi

La struttura a sei bug è la lezione centrale. Riprende un schema già osservato in altre parti dell'infrastruttura legata a Bitcoin, dove un bridge Bitcoin è stato chiuso dopo l'emergere di bug nel codice, a conferma che l'infrastruttura cross-chain resta un bersaglio di alto valore. I precedenti lo dimostrano: THORChain — il protocollo da cui Maya ha tratto origine con il fork — è stato svuotato due volte nell'arco di due settimane nel luglio 2021, e alcuni dei più grandi furti nella storia delle criptovalute, dall'hack del bridge di Ronin Network da circa 600 milioni di dollari all'exploit di Wormhole da 325 milioni di dollari del 2022, hanno tutti preso di mira l'infrastruttura che muove gli asset tra le catene.

I guasti su più livelli premiano il tipo di testing avversariale che oggi anima gli sforzi per sottoporre i progetti Bitcoin fondamentali a red teaming con l'IA, pensati proprio per cercare questi percorsi di exploit concatenati. La prospettiva della sicurezza si intreccia inoltre con un più ampio sforzo per automatizzare la scoperta delle vulnerabilità, dagli audit di sicurezza con IA su larga scala estesi a centinaia di progetti ai team che applicano i modelli direttamente al codice dei protocolli.

Ciò che ricercatori di sicurezza e investitori osserveranno d'ora in poi è se Maya riuscirà a ricostruire l'intera catena dell'exploit, recuperare o risarcire gli asset sottratti e riavviare la rete senza riaprire nessuno dei sei difetti. Finché queste domande non riceveranno risposta, la rete resterà congelata e l'attività normale sospesa.

Avvertenza: questo articolo ha esclusivamente scopo informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Conduci sempre le tue ricerche prima di prendere decisioni.