Maya Protocol’de Zincirleme Akıllı Kontrat Zafiyeti: CACAO Token %89 Çöktü

Zincirler arası merkeziyetsiz borsa (DEX) Maya Protocol, akıllı kontratlarındaki bir dizi yazılım hatasını istismar eden bir saldırganın yaklaşık 1,7 milyon dolar değerinde kripto varlığı ele geçirmesinin ardından ağ operasyonlarını tamamen durdurdu.

Altı Ayrı Hatanın Anatomisi: Asgard Modülü Nasıl Hedef Alındı?

Protokolün kurucu ortağı Aalux tarafından paylaşılan teknik analiz, saldırının basit bir flash loan istismarı olmadığını, aksine akıllı kontrat mantığındaki altı farklı hatanın zincirleme olarak kullanılmasından kaynaklandığını ortaya koydu. Saldırgan, tek bir işlem (transaction) içerisine yerleştirdiği 23 farklı mesajla sistemin sahte hırsızlık algılama mekanizmasını tetikledi ve düşük likiditeye sahip bir havuzu yapay olarak şişirdi.

■Saldırgan, Maya Protocol'ün Asgard modülünden toplamda 48,87 milyon CACAO token çekmeyi başardı.

■Ele geçirilen fonların yaklaşık 1,36 milyon dolarlık kısmı harici blokzincirlere aktarılırken, 291.000 dolarlık kısmı ise CACAO ve işlem hesabı pozisyonlarında kaldı.

■Güvenlik araştırmacısı Vini Barbosa'nın verilerine göre, yerel token CACAO'nun değeri olay sırasında 0,115 dolar seviyesinden 0,013 dolara gerileyerek %88,7 değer kaybetti.

Arbitraj Etkisi ve Likidite Havuzlarındaki Sistemik Erime

İlk raporlar protokolün likidite havuzlarındaki toplam değer kaybının (TVL) 10,9 milyon doları bulduğunu gösteriyor. Ancak çekirdek ekip, bu rakamın tamamının doğrudan çalınan varlıklardan oluşmadığını; önemli bir kısmının panik satışı yapan arbitraj botları ve CACAO token'ın yaşadığı devalüasyondan kaynaklandığını vurguluyor. Aalux, ağ genelinde "global durdurma" (global halt) kararı alarak daha fazla hasarın önüne geçildiğini ve akıllı kontratlardaki hatanın giderilmesi için çalışmalara başlandığını açıkladı.

Bir DeFi analisti olarak kod seviyesine indiğimizde, Maya Protocol'deki bu durum akıllı kontratlardaki "state machine" (durum makinesi) mantık hatalarının ne kadar yıkıcı olabileceğini bir kez daha gösteriyor. Saldırganın 23 mesajı tek bir işlemde birleştirerek Asgard modülündeki likidite hesaplama algoritmasını manipüle etmesi, oracle mekanizmaları ve havuz dengesi kontrollerinin yetersizliğini kanıtlıyor. Bu ölçekteki cross-chain protokollerde, işlem öncesi (pre-execution) durum simülasyonlarının ve dinamik kayma (slippage) limitlerinin kod düzeyinde çok daha sıkı denetlenmesi şarttır. TVL'deki ani erime, likidite sağlayıcıları için DeFi'ın sistemik risklerini tekrar hatırlatır nitelikte.