六个小漏洞串成 170 万美元大洞 —— 一条跨链交易网络是怎么被自己搞垮的

跨链协议 Maya Protocol 已暂停其 MAYAChain 网络:攻击者将六个彼此独立的软件漏洞串联利用,卷走约 170 万美元的加密资产。联合创始人 Aalux 表示,约 20 枚比特币(约合 140 万美元)以及另外约 30 万美元的资产被转出。团队在修复期间已停止所有兑换。

MAYAChain 是一条规模较小的跨链交易网络,基于 THORChain 的开源代码构建,让用户无需经由中心化交易所即可互换比特币、以太币等资产。交易在流动性池中完成 —— 也就是用户存入、供他人对手交易的一批加密资产 —— 其代币 CACAO 则是连接各个市场的通用结算资产。

据创始人公布的初步技术复盘,攻击始于一笔交易覆写了追踪转出记录的数据,使这些转账看起来像是“丢失”了。这触发了本用于在遭窃后补偿流动性池的安全机制,而该机制计算错误,向一个规模很小的 Arbitrum Chainlink 池记入了约 4900 万枚 CACAO —— 但协议储备当时只有约 16.8 万枚 CACAO。这笔划转因资金不足而失败,虚增后的池内余额却已写入网络账本,并且没有被回滚。攻击者随后向这个被扭曲的池中存入极少量资产,就拿到了超过 99% 的份额,提走 4887 万枚 CACAO,并开始把这些代币换成池中真实存在的比特币、以太币等资产。

连锁损失远大于被盗金额。CACAO 从约 0.115 美元一路跌到最低 0.013 美元,跌幅接近 89%,随后回升至 0.03 美元附近。分析估算,MAYAChain 各流动性池整体价值缩水约 1090 万美元,但其中真正落入攻击者之手的只有约 165 万美元;约 640 万美元只是 CACAO 本身贬值,另有约 290 万美元来自套利者买入骤跌的代币、再换走池中资产。“池子受损总额”与“被盗金额”并不是同一个数字,而标题往往把两者混为一谈。

团队表示,希望攻击者以领取漏洞赏金的形式归还资金,否则将设法补上那约 20 枚比特币。需要留意的是:修好代码本身并不能让池子恢复原状,因为漏洞凭空造出的大量 CACAO 已被换入其他市场,如今与普通流动性提供者的代币混在了一起。

对新手来说,这件事的教训不是跨链兑换不可用,而是:你存入流动性池的钱,是活在那条协议自己的记账系统里的。六个漏洞单看都很局部,损失恰恰来自它们排成了一条线。在规模较小的网络上,一次记账失误可能同时打击你持有的代币和你存入的池子。以上为资讯,并非投资建议。