盗まれた20BTC、送金ゼロのまま3日｜Mayaに復旧計画なし

Maya Protocolで8月18日に発生した攻撃の中心とみられるビットコインアドレスは、21日時点で約20.8273BTCを保有したまま、一度も送金を行っていません。クロスチェーン流動性プロトコルのプール全体に及ぶとされるより大きな影響について、公表された復旧計画は示されていない状況です。

公開データでは、20.82731228BTCの受領に対して送金はゼロ、承認済み取引は11件で、メモリプールでの待機もありません。18日17時32分18秒（UTC）に10件の入金で20.82730682BTCが到着し、その後546サトシの取引で総額がわずかに増えました。

SigIntZeroによる技術的な再構成では、会計と状態処理に関する6つの欠陥が23メッセージから成る単一のトランザクション内で連鎖したとされます。上書きされた送信状態が誤った「転送欠落」シグナルを生み、準備金に約16万8000CACAOしかない状況で、薄いARB.LINKプールへ約4945万CACAOが計上されました。CACAOはMaya Protocolの基軸トークンで、すべての流動性プールがこれを共通のペア資産として組む設計です。

準備金からの移転自体は失敗しましたが、水増しされた残高は残り、攻撃者はごく少額の流動性追加でプール持分の約99.93%を取得し、約4887万CACAOを引き出しています。

同社の推計では、約136万ドルが外部チェーンへ移り、約29万1000ドルがMAYAChain上に残ったことで、攻撃者の支配下にある価値は165万〜170万ドル程度とされます。CACAOは約0.115ドルから0.013ドルへ88.7%下落しており、20BTCが返還または補填されても損失の一部を覆うにとどまることになりそうです。

記事ソース：資料