Six failles exploitées en une attaque
Le Maya Protocol, plateforme d’échange cross-chain, a été victime d’une attaque coordonnée exploitant pas moins de six vulnérabilités enchaînées. L’attaque s’est déroulée en utilisant une seule transaction contenant 23 messages distincts, ce qui a permis à l’assaillant de contourner plusieurs couches de sécurité du protocole. Les failles concernaient notamment la gestion des comptes de trading, les transactions sortantes et les calculs des pools de liquidité.
Ce type d’exploitation en cascade révèle des faiblesses structurelles dans la manière dont certains protocoles cross-chain gèrent la complexité de leurs opérations internes.
Des tokens fantômes crédités à tort
L’un des aspects les plus critiques de l’incident réside dans le fait que le Maya Protocol a crédité un pool avec près de 50 millions de tokens qui n’avaient jamais été réellement déposés. Cette erreur comptable a permis à l’attaquant de convertir ces “tokens fantômes” en actifs réels et liquides, siphonnant ainsi des fonds authentiques détenus par le protocole.
Le 21 juin 2024, l’attaquant a pu drainer précisément 48,87 millions de tokens CACAO en une seule opération.
Selon coindesk.com, c’est cette manipulation qui a ouvert la porte au drainage massif des pools, provoquant une perte nette estimée à 11 millions de dollars pour la plateforme.
Le CACAO s’effondre de 88 %
En quelques heures, le token natif CACAO a vu son prix chuter brutalement de 0,115 dollar à seulement 0,013 dollar, soit une perte vertigineuse de 88,7 %.
L’attaque a permis au pirate de drainer précisément 48,87 millions de tokens CACAO. Cette dévaluation massive s’est immédiatement répercutée sur la valeur totale des pools du réseau Maya Protocol, qui ont perdu près de 10,9 millions de dollars – un chiffre qui inclut à la fois l’arbitrage opportuniste et la chute du cours du CACAO. D’après les informations communiquées par le cofondateur pseudonyme Aalux, l’attaquant est également reparti avec environ 20 bitcoins (soit près de 1,4 million de dollars) et quelque 300 000 dollars d’autres actifs numériques.
Au total, environ 1,36 million de dollars ont été transférés vers des blockchains externes tandis que l’attaquant conservait encore près de 291 000 dollars sous forme de CACAO ou dans des positions sur MAYAChain.
Le réseau stoppé en urgence
Face à l’ampleur des pertes et au déséquilibre provoqué dans ses pools, Maya Protocol a pris la décision radicale d’interrompre entièrement son réseau. Cette suspension immédiate vise à éviter toute nouvelle fuite d’actifs ou exploitation supplémentaire pendant que les équipes techniques analysent l’étendue des dégâts et cherchent à colmater les brèches mises au jour par cette attaque sophistiquée.
La réaction rapide – bien qu’indispensable – n’a pas empêché une onde de choc sur les marchés et parmi les utilisateurs du protocole. Il reste incertain quand ou si Maya Protocol pourra rouvrir son réseau en toute sécurité après cet incident majeur.
Pourquoi ça compte
Cet exploit met en lumière les risques spécifiques auxquels sont exposés les protocoles cross-chain face à la complexité croissante des interactions entre chaînes et pools. Le fait qu’une seule transaction composée de multiples messages ait suffi pour déclencher une chaîne d’événements catastrophiques interroge sur la robustesse réelle des mécanismes anti-fraude et sur la nécessité d’audits renforcés pour ces infrastructures décentralisées. Pour les investisseurs comme pour les développeurs du secteur DeFi, cet épisode rappelle brutalement que chaque faille technique non corrigée peut se transformer en perte tangible – ici chiffrée à plusieurs millions et un effondrement quasi-total du token natif.
Les éléments sous surveillance
La reprise éventuelle du réseau Maya Protocol, actuellement interrompu après l’exploit ayant drainé environ 1,7 million de dollars et provoqué une chute de 88,7 % du prix du CACAO, reste incertaine ; si le protocole annonce une date de redémarrage ou des mesures de compensation, la réaction immédiate des pools et du token CACAO sera scrutée.