MANTRA Chain: атака на $3,6 млн остановила сеть на 30 часов

MANTRA Chain опубликовала отчет об инциденте 20 августа: злоумышленник перевёл 720,923,967.99 MANTRA, что по курсу на конец дня соответствовало примерно $3,6 млн. В отчёте указано, что в ходе атаки приватные ключи валидаторов, администраторов и мультисигов не были скомпрометированы. Сеть оставалась недоступной 30 часов 13 минут.

В отчёте описано, что атака состояла из двух основных несанкционированных списаний: 600,000,035.56 MANTRA с адреса сжигания и 120,923,932.44 MANTRA со старого мультиподписного кошелька эпохи genesis, связанного с инсентив‑кампанией. Всего переместили 720,923,967.99 MANTRA. По данным команды, новые токены не создавались, но ранее неучтённые балансы были выведены в оборот, что увеличило циркулирующее предложение.

Причина уязвимости связана с согласованием балансов между состоянием EVM и модулем Cosmos Bank в интеграции Cosmos EVM. Проблемный код выполнял вычитание из unsigned integer без проверки достаточности средств, из‑за чего при недостатке баланса результат «переполнялся» до очень большого числа вместо отклонения транзакции. Злоумышленник применил специально сформированный аккаунт и вызов через staking precompile, что позволило списать средства без авторизации владельца адреса. В отчёте уточняется, что это не была компрометация приватных ключей или уязвимость токен‑контракта.

Первое списание оставалось незамеченным около четырёх часов, поскольку адрес сжигания считался неспособным переводить средства и не был охвачен мониторингом. После первого списания злоумышленник сделал 12 переводов на суммарно 565,8 млн MANTRA, после второго — ещё три перевода на 117,2 млн MANTRA. Около 682,97 млн MANTRA были отправлены на депозитный адрес одной из бирж. По состоянию на 28 августа примерно 37,96 млн MANTRA оставались на кошельке злоумышленника и были заблокированы; в отчёте отмечено, что блокировка не равнозначна возврату средств.

MANTRA Chain приостановила сеть и подготовила патч v8.4.0. Обновление вводит две защиты: некорректные вычитания теперь завершаются ошибкой без изменения баланса или общего предложения токенов, и заблокировано создание специального типа учётной записи, использованной в эксплойте. Перед перезапуском команда проверила, что эксплойт больше не работает, а обычные операции стейкинга и делегирования продолжают выполняться. Сеть возобновили после скоординированного перезапуска валидаторов на версии v8.4.0 без отката состояния, переписывания блокчейна или аннулирования легитимных подтверждённых транзакций.

Команда изменила правила мониторинга: теперь отслеживаются списания с аккаунтов, которые формально не могут авторизовать транзакции, крупные переводы с несоответствием источника и подписанта, создание специальных типов аккаунтов и операции с адресами, ранее считавшимися неактивными, включая адреса сжигания. Отдельно отмечено, что патч был добавлен в ветку разработки Cosmos EVM 15 мая, но в релизах v0.6.2 и v0.7.2 он появился только в августе без отдельного предупреждения об уязвимости.

MANTRA Chain инициировала процедуры возврата средств и взаимодействует с правоохранительными органами и платформами, через которые проходили активы, чтобы отслеживать и блокировать переводы. Некоторые площадки приостановили депозиты и вывод MANTRA дольше, чем сеть оставалась недоступной.