MANTRA Chain: atak na 3,6 mln USD, sieć offline 30 godz.

MANTRA Chain opublikowała szczegółowy raport dotyczący incydentu z 20 sierpnia 2026 r., w wyniku którego nieautoryzowanie przetransferowano 720 923 967,99 tokenów MANTRA, o wartości około 3,6 mln USD przy kursie 0,005 USD za token. Sieć była zatrzymana na 30 godzin i 13 minut. Raport podkreśla, że klucze walidatorów, administratorów i multisigów nie zostały skompromitowane.

Atak wykorzystał błąd typu unsigned-integer underflow w module Cosmos EVM, używanym przez MANTRA Chain do obsługi funkcji EVM na Cosmos SDK. Problem dotyczył mechanizmu uzgadniania sald między stanem EVM a modułem Cosmos Bank: kod wykonywał odejmowanie bez sprawdzenia wystarczalności salda, co powodowało „owinięcie” wartości do bardzo dużej liczby zamiast odrzucenia operacji. Napastnik użył specjalnie skonstruowanego konta i wywołań przez staking precompile, co pozwoliło na obciążenie adresów bez posiadania ich kluczy prywatnych ani uprawnień multisig.

Z raportu wynika, że atak składał się z dwóch głównych nieautoryzowanych obciążeń: 600 000 035,56 MANTRA z adresu spalania sieci oraz 120 923 932,44 MANTRA ze starego portfela wielopodpisowego z okresu genesis związanego z kampanią zachęt. Po pierwszym obciążeniu napastnik wykonał 12 przelewów na 565,8 mln MANTRA, a po drugim trzy przelewy na 117,2 mln MANTRA. Łącznie 682,97 mln MANTRA trafiło na adres depozytowy giełdy. Na portfelu sprawcy pozostało około 37,96 mln MANTRA, które są zablokowane.

Zespół MANTRA Chain wstrzymał sieć, przygotował aktualizację v8.4.0 i rano 22 sierpnia przeprowadził skoordynowany restart walidatorów. Sieć została przywrócona bez rollbacku, bez przepisywania stanu i bez unieważniania potwierdzonych transakcji. Aktualizacja wprowadza dwie główne poprawki: przekształcenie nieprawidłowego odejmowania w błąd, który nie zmienia salda ani podaży tokenów, oraz zablokowanie tworzenia specjalnego typu konta bez odpowiednich uprawnień.

Poprawka usuwająca błąd została dodana do gałęzi rozwojowej Cosmos EVM 15 maja, lecz trafiła do wersji wydaniowych v0.6.2 i v0.7.2 dopiero w sierpniu, bez oddzielnego komunikatu o podatności. Raport wskazuje też, że pierwsze obciążenie pozostawało niezauważone przez prawie cztery godziny, ponieważ adres spalania był uważany za niezdolny do transferów i nie był objęty odpowiednimi alarmami.

Po incydencie zespół wprowadził zmiany w monitoringu: będzie śledzić obciążenia z kont, które nie mogą autoryzować transakcji, duże przelewy, w których źródło środków nie odpowiada podpisującemu, oraz tworzenie specjalnych kont. MANTRA Chain rozpoczęła procedury odzyskiwania środków i współpracuje z organami ścigania oraz platformami, przez które przeszły aktywa; na dzień 28 sierpnia zespół nie zgłosił zwrotu skradzionych tokenów. Raport zaznacza, że zablokowanie części aktywów na portfelu sprawcy nie oznacza ich automatycznego zwrotu użytkownikom.

Raport informuje, że w wyniku ataku nie utworzono nowych tokenów MANTRA; całkowita podaż zmniejszyła się o jedną najmniejszą jednostkę bazową (0,000000000000000001 MANTRA), natomiast podaż w obiegu wzrosła, ponieważ wcześniej nieaktywne salda stały się przemieszczalne. Dla kontekstu, w tym roku rynek kryptowalut odnotował wcześniej duże straty: w kwietniu około 635 mln USD, a w maju około 81,7 mln USD.