Maya Protocol, międzyłańcuchowa sieć płynności, która gromadzi aktywa w pulach i przemieszcza je pomiędzy blockchainami, wstrzymała działanie po tym, jak napastnicy połączyli w łańcuch sześć osobnych błędów i wykradli około 1,4 mln dolarów w Bitcoinie oraz innych aktywach z pul. Zespół przeszedł do awaryjnego zamknięcia sieci, aby ograniczyć szkody w czasie badania incydentu.

Nie był to pojedynczy błąd. Opisany po raz pierwszy przez Decrypt exploit połączył sześć odrębnych podatności w jedną ścieżkę ataku, co oznacza, że napastnik musiał ułożyć wiele słabości w odpowiedniej sekwencji, aby dotrzeć do środków. Łańcuch zbudowany z wielu błędów trudniej wykryć podczas rutynowego audytu niż pojedynczą podatność, ponieważ każdy defekt z osobna może sprawiać wrażenie niskiego ryzyka, dopóki nie zostanie połączony z kolejnym.

Sama platforma Maya wystartowała w 2023 roku jako prowadzony przez społeczność fork THORChain, starszej międzyłańcuchowej sieci płynności, więc incydent dotyczy linii kodu działającej od lat, a nie zupełnie nowego projektu.

Jak przebiegał atak

Maya Protocol zatrzymała swoją sieć po tym, jak napastnik zaatakował jej pule płynności. Zespół przeszedł do pełnego zatrzymania natychmiast po wykryciu opróżniania pul, odcinając możliwość dalszych transakcji w całym łańcuchu.

Według relacji CoinDesk exploit obejmował drenaż Bitcoina wraz z innymi aktywami, a w trakcie ataku wartość pul spadła o około 11 mln dolarów. Oś czasu była skompresowana: atak wykryto, stratę potwierdzono, a protokół zatrzymano w krótkim czasie, a nie w ciągu kilku dni.

Dlaczego ten atak ma znaczenie dla bezpieczeństwa międzyłańcuchowego

Zatrzymanie całej sieci to działanie radykalne i mało precyzyjne, a sięgnięcie po nie oznacza, że zespół uznał zagrożenie za na tyle poważne, by zamrozić całą aktywność zamiast łatać błędy na bieżąco. Dla użytkowników oznacza to faktyczne zablokowanie środków i dostępu na czas śledztwa — bez zwykłych wpłat, wymian ani wypłat do momentu wznowienia pracy sieci.

Fakt, że kradzież denominowano w Bitcoinie, dodatkowo uwypukla jej wpływ. Maya i podobne międzyłańcuchowe sieci płynności przechowują realne aktywa w wielu łańcuchach — Bitcoin zgromadzony w pulach zabezpiecza aktywność w innych miejscach — dlatego naruszenie warstwy koordynacji przekłada się bezpośrednio na realne straty, a nie jedynie na spadek papierowej wartości tokenów.

Wnioski dla bezpieczeństwa protokołów DeFi

Struktura oparta na sześciu błędach to główna lekcja. Odbija się w niej wzorzec zaobserwowany również gdzie indziej w infrastrukturze związanej z Bitcoinem, gdzie mostek Bitcoina został zamknięty po ujawnieniu błędów w jego kodzie — co pokazuje, że infrastruktura przesyłająca aktywa między łańcuchami pozostaje cennym celem ataków. Potwierdza to historia: THORChain — protokół, z którego powstał fork Maya — był okradany dwukrotnie w ciągu dwóch tygodni w lipcu 2021 roku, a niektóre z największych kradzieży w dziejach kryptowalut, od ataku na mostek Ronin Network o wartości około 600 mln dolarów po exploit Wormhole za 325 mln dolarów w 2022 roku, wymierzały w infrastrukturę przenoszącą aktywa między łańcuchami.

Warstwowe awarie sprawiają, że szczególne znaczenie zyskują testy antagonistyczne — takie, jakie obecnie napędzają wysiłki związane z prowadzeniem AI red-teamingu kluczowych projektów Bitcoina — ponieważ tropią one dokładnie tego typu łańcuchowe ścieżki ataku. Wątek bezpieczeństwa splata się również z szerszym nurtem automatyzacji wykrywania podatności: od wielkoskalowych audytów bezpieczeństwa z użyciem sztucznej inteligencji, obejmujących setki projektów, po zespoły stosujące modele bezpośrednio wobec kodu protokołów.

Kwestią, którą badacze bezpieczeństwa i inwestorzy będą obserwować w najbliższym czasie, jest to, czy Maya zdoła prześledzić pełny łańcuch ataku, odzyskać wykradzione aktywa lub zrekompensować straty oraz ponownie uruchomić sieć bez ponownego otwarcia któregokolwiek z sześciu błędów. Dopóki te pytania nie znajdą odpowiedzi, sieć pozostaje zamrożona, a normalna aktywność — zawieszona.

Zastrzeżenie: Niniejszy artykuł ma wyłącznie charakter informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Przed podjęciem decyzji zawsze przeprowadź własny research.