跨链流动性网络Maya Protocol于周二暂停运营，原因是攻击者利用六个软件漏洞盗取了约170万美元的比特币及其他资产。Maya Protocol创始人AaluxxMyth（又称Maya）在X平台发布说明称，团队已暂停网络以控制损失，并将在恢复交易前修复漏洞。
“没法粉饰太平，”Maya在帖子中写道，“我们很可能被窃取了20枚BTC（约140万美元）及其他资产（约30万美元）。”Maya Protocol运营着MAYAChain，这是一个去中心化网络，允许用户在不使用中心化交易所的情况下跨链交换比特币和以太坊等加密货币。
在后来的分析报告中，Maya Protocol团队透露，攻击者利用了六个漏洞，将某个流动性池的CACAO数量虚增了4945万枚，随后获得该池99.93%的控制权，并提取了4887万枚CACAO。“攻击者通过一条包含23条消息的MsgDeposit交易触发了虚假的‘盗窃’检测，利用无上限的削减补贴将低流动性池的CACAO余额膨胀，然后立即对该膨胀后的池子进行流动性提供和提取操作，从而套取价值。”他们写道。
当攻击者将代币兑换成比特币和其他资产时，CACAO价格暴跌，限制了最终提取的金额。团队估计攻击者盗取了约165万美元的加密资产，其中136万美元转移至外部区块链，约29.1万美元仍留在链上。团队未说明是否认为此次攻击中使用了人工智能。
Maya表示，这些漏洞在Halborn和Fable 5进行的审计中隐藏了三到四年未被发现，并补充说团队需要以更具对抗性的方式审查代码。“我们必须变得更加对抗性，寻找极其简单的代码原语，”Maya在后续帖子中写道，“我们早就知道工作艰难，但使命值得。”Maya Protocol公布了疑似攻击者的比特币地址，该地址收到了20.83枚BTC（约134万美元）。团队估计总损失约165万美元，并希望攻击者能归还资金以换取漏洞赏金。如果不行，Maya表示团队计划通过投资Aztec Chain及其他方式追回约20枚BTC，并返还给受影响的池子。
此次事件发生前，近几个月已出现多起重大DeFi攻击。4月，攻击者通过社会工程攻击窃取了开发者的会话密钥，从KelpDAO的跨链桥盗走约2.92亿美元。7月，基于Arbitrum的永续合约交易所Ostium因攻击者入侵预言机签名者密钥并操纵价格预言机，损失约1800万美元。同月，AFX Trade因针对去中心化交易所运营的USDC桥的漏洞攻击，被盗约2400万美元。