Maya Protocol, een cross-chain liquiditeitsnetwerk dat activa over blockchains heen poolt en verplaatst, heeft de activiteiten stilgelegd nadat aanvallers zes afzonderlijke bugs aaneenschakelden om ongeveer 1,4 miljoen dollar aan Bitcoin en andere gepoolde activa af te tappen. Het team schakelde over op een noodafsluitting van het netwerk om de schade te beperken terwijl het het incident onderzoekt.

De aanval was geen enkele misstap. Voor het eerst beschreven door Decrypt, combineerde de exploit zes verschillende kwetsbaarheden tot één exploitroute, wat betekent dat de aanvaller meerdere zwakke plekken na elkaar moest samenvoegen om bij de middelen te komen. Een keten van meerdere bugs is moeilijker op te sporen in een standaardaudit dan een geïsoleerde kwetsbaarheid, omdat elke afzonderlijke fout er laagrisico uitziet totdat hij aan de volgende wordt gekoppeld.

Maya zelf ging in 2023 van start als een door de community gedragen fork van THORChain, een al langer draaiend cross-chain liquiditeitsnetwerk, waardoor het incident een codebasis betreft die al jaren live is in plaats van een gloednieuw ontwerp.

Hoe de exploit zich ontvouwde

Maya Protocol zette het netwerk stil nadat een aanvaller de liquiditeitspools exploiteerde. Het team ging over tot een volledige stilstand zodra de drain werd ontdekt, waardoor verdere transacties op de chain werden afgesneden.

Berichtgeving van CoinDesk beschreef dat de exploit Bitcoin samen met andere activa aftapte, waarbij de poolwaarde met ruwweg 11 miljoen dollar daalde terwijl de aanval zich voltrok. Het tijdsbestek was kort: de exploit werd ontdekt, het verlies bevestigd en het protocol binnen korte tijd stilgezet in plaats van in de loop van dagen.

Waarom de hack belangrijk is voor cross-chain beveiliging

Een netwerkbrede stilstand is een bot instrument, en het grijpen naar zo'n middel laat zien dat het team de dreiging ernstig genoeg achtte om alle activiteit stil te leggen in plaats van ter plekke te patchen. Voor gebruikers betekent dit dat middelen en toegang feitelijk geblokkeerd zijn zolang het onderzoek loopt, zonder normale stortingen, swaps of opnames totdat het netwerk weer opstart.

De keuze om de diefstal in Bitcoin uit te drukken, verscherpt de impact. Maya en vergelijkbare cross-chain liquiditeitsnetwerken bewaren echte activa over chains heen — Bitcoin in pools ondersteunt activiteit elders — zodat een inbreuk in de coördinatielaag direct omzet in harde verliezen in plaats van een dip in de papieren tokenwaarde.

Lessen voor de beveiliging van DeFi-protocollen

De structuur van zes bugs is de kernles. Zij weerklinkt in een patroon dat ook elders in Bitcoin-gerelateerde infrastructuur zichtbaar is, waar een Bitcoin-brug werd stilgelegd nadat bugs in de code aan het licht kwamen, wat onderstreept dat de cross-chain onderlaag een waardevol doelwit blijft. De historie bevestigt dat: THORChain — het protocol waarvan Maya is geforkt — werd in juli 2021 binnen twee weken tweemaal leeggehaald, en enkele van de grootste diefstallen uit de cryptogeschiedenis, van de hack van de Ronin Network-brug van ongeveer 600 miljoen dollar tot de Wormhole-exploit van 325 miljoen dollar in 2022, waren allemaal gericht op de infrastructuur die activa tussen chains verplaatst.

Gelaagde fouten belonen precies het soort adversarial testen dat nu de inzet van AI-redteams op kernprojecten van Bitcoin aandrijft en dat juist op dit soort geketende exploitroutes zoekt. De beveiligingskant raakt daarnaast aan een bredere beweging om het opsporen van kwetsbaarheden te automatiseren, van grootschalige AI-beveiligingsaudits over honderden projecten tot teams die modellen direct op protocolcode loslaten.

Waar beveiligingsonderzoekers en investeerders vervolgens op letten, is of Maya de volledige exploitketen kan traceren, de afgetapte activa kan terugvorderen of vergoeden en het netwerk kan herstarten zonder een van de zes fouten opnieuw te openen. Zolang die vragen onbeantwoord zijn, blijft het netwerk bevroren en blijft normale activiteit opgeschort.

Disclaimer: dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. De markten voor cryptocurrencies en digitale activa brengen aanzienlijke risico's met zich mee. Doe altijd eigen onderzoek voordat u beslissingen neemt.