クロスチェーン流動性プロトコルのMaya Protocolが8月18日、推定170万ドル相当のエクスプロイト被害に見舞われた。2023年4月のメインネット稼働以来、THORChainフォークとして初めての大規模な資金流出事件となる。攻撃は協定世界時17時30分ごろに発生し、初期の技術分析では、トレードアカウント処理、アウトバウンド取引処理、流動性プール会計の各所にまたがる6つのバグが連鎖したことが原因とされている。
攻撃者は23件のメッセージを詰め込んだ単一のトランザクションを使い、不正な盗難検知フラグを発生させ、流動性の低いプールを人為的に膨らませたうえで、MayaのAsgardモジュールから約4887万CACAOトークンを引き出した。ビットコインやARB系トークン、ネイティブCACAOなど外部チェーンへの流出が確認された分だけで約136万ドルに達し、オンチェーンに残る分を含めた攻撃者管理下の総額は170万ドル近くに上る。盗まれた資金が他の資産にスワップされる過程でCACAOの価格は約0.115ドルから0.013ドル付近まで約88%急落し、その後0.03ドル台まで一部持ち直した。
チーム、チェーンを停止しバウンティを提示
バリデーターは事態発覚直後、Mayaのチェーン停止フラグを作動させ、被害を受けたプールの入出金を凍結した。これにより開発チームは調査のための時間を確保できた。創業者のAaluxxMyth氏はX上で今回の事件を直接認め、迅速に対応したノードオペレーターに謝意を示すとともに、チームはすでに脆弱性を特定しパッチを準備中であり、被害を受けたユーザーには全額補償すると約束した。さらにチームは攻撃者に対し、盗んだ資金を返還し脆弱性を公に開示すれば、追及する代わりにバウンティを支払うというホワイトハット提案も行っている。
関連記事: Falcon Finance、エルサルバドルで規制準拠のGPUトークン化事業を開始
THORChain自身の5月のエクスプロイトの再来
今回の事件は、Mayaがフォーク元とするTHORChainが2026年5月に約1080万ドル相当のエクスプロイト被害を受けてからわずか3カ月後に発生した。あの時はクロスチェーンの活動が13時間停止し、1万2000以上の影響を受けたウォレットのために専用の復旧ポータルが設けられる事態となった。攻撃者に盗難資金の一部を渡して残りを返還させるホワイトハット交渉は、THORChainエコシステムにおいて一度きりの対応ではなく、繰り返し使われる定番の手法になりつつある。もっとも、THORChain自体はそのエクスプロイト後のバグバウンティ制度の運用を巡り、セキュリティ研究者から別途批判も受けている。
THORChain派生プロトコルへの示唆
Mayaの今回の6つのバグ連鎖は、親プロトコルを今年すでに一度苦しめたのと同じカテゴリーのクロスチェーン流動性ロジックを突いたものであり、THORChainフォーク全体が共有するアーキテクチャに、各フォークが十分に切り分けられていないリスクが潜んでいることを示唆している。ホワイトハット提案が成功するかどうかは、CACAOとMayaの流動性プールへの信頼がどれだけ早く回復するかを左右しそうだが、関連する2つのプロトコルで1年のうちに同様のパターンが繰り返されたことで、THORChain系コードベースがアウトバウンド取引やプール会計のエッジケースをどう扱っているか、今後さらに厳しい目が向けられることになりそうだ。
