Exploit de US$ 1,7 milhão atinge pool ARB.LINK do Maya Protocol

O Maya Protocol, rede de troca nativa entre blockchains que nasceu de um fork do THORChain, foi alvo de um exploit estimado em cerca de US$ 1,7 milhão. O golpe mirou a pool ARB.LINK e começou pela contabilidade, o par teve os registros maquiados, com a inclusão de um subsídio que não correspondia a nenhum valor real depositado.

O atacante não quebrou a rede. Ele mexeu nos números.

Depois de inflar o registro, o responsável entrou e saiu de liquidez em sequência, movimentação que lhe permitiu extrair cerca de 48,87 milhões de CACAO, o token nativo do Maya, e 98,82 LINK das reservas compartilhadas. O padrão é conhecido no mundo de finanças descentralizadas, um valor contábil artificialmente alto vira garantia falsa para a retirada de ativos.

O saldo artificial virou o passaporte da retirada.

O mecanismo do ataque

A equipe por trás do protocolo confirmou o caso e prometeu reparar os danos. Um dos membros resumiu o momento em poucas palavras, triste notícia, mas com trabalho para recuperar tudo. Enquanto isso, um dado on-chain ajuda a localizar o episódio no tempo, a pool ARB.LINK não aparece mais entre as pools ativas da rede, que somavam 25 ao todo em 18 de agosto, nenhuma delas com LINK.

A cadeia continua de pé, com cerca de 40 nodes ativos.

O problema parece ter ficado restrito àquele pool e não derrubou a infraestrutura como um todo. Os valores retirados chamam atenção, mas a perda monetária estimada segue modesta diante de outros casos recentes do ecossistema de trocas entre redes. Em maio, o próprio THORChain foi atingido por um exploit de cerca de US$ 10,7 milhões que passou pela rota de swaps do Maya.

Há ainda uma leitura sobre o número final. O preço de referência do CACAO na casa dos US$ 0,12 segundo a CoinGecko faz os 48,87 milhões de tokens parecerem maiores do que a cifra divulgada.

Pela leitura da análise de segurança, os US$ 1,7 milhão representam o valor líquido capturado. A soma bruta dos ativos retirados fica acima disso, distinção importante para dimensionar o estrago real, o impacto econômico costuma ser menor do que o montante bruto movimentado.

Um sinal na rede e a leitura do prejuízo

O caso reabre o debate sobre subsídios e valores contábeis em pools compartilhadas.

Um subsídio sem lastro real pode virar porta de saída rápida para quem descobre a brecha antes da correção. Para quem deixou liquidez no Maya Protocol, o desfecho depende do reembolso prometido pela equipe, o protocolo segue operando e a rede não parou.

Se a recuperação vier, ela será um teste importante para a confiança no ecossistema de trocas nativas entre redes.

O compromisso de recuperação integral assumido pelo Maya é o primeiro sinal, mas a prova virá quando os ativos voltarem às reservas compartilhadas. É esse retorno, mais do que qualquer comunicado, que vai mostrar se o protocolo aprendeu com a falha.