Kein Erholungsplan in Sicht, da MANTRA den Post-Mortem des Exploits veröffentlicht
- Das Post-Mortem der MANTRA Chain vom 28. August besagt, dass ein Angreifer einen Underflow-Fehler bei einer unsigned-Integer-Variable im cosmos/evm-Modul ausgenutzt hat.
- Der Abfluss belief sich auf etwa 720,9 Millionen MANTRA, rund 3,6 Millionen US-Dollar, von einer Burn-Adresse und einer Legacy-Multisig am 20. August.
- Keine Kundengelder wurden belastet, und es wurden keine neuen Token gemint.
MANTRA Chain hat sich in dem vollständigen Post-Mortem-Bericht, den es am 28. August veröffentlicht hat, nicht auf einen Fonds-Erholungsplan festgelegt. Stattdessen präsentierte die Veröffentlichung einen formellen Rückblick auf den Vorfall vom 20.-21. August, bei dem ein Angreifer etwa 720,9 Millionen MANTRA im Wert von etwa 3,6 Millionen Dollar aus dem Projekt abgezogen hat.
Die heutige Offenlegung wies dem einer Woche alten Angriffformell einen Dollarwert zu, bei dem das Projekt darauf besteht, dass dies auf einen Codefehler zurückzuführen war, der nicht direkt mit seinem eigenen Code zusammenhing.
In der Zwischenzeit bestätigte MANTRA, dass die Strafverfolgungsbehörden nun involviert sind und Updates zu den Bemühungen zur Fondsrückholung ausstehen. Es hieß auch, dass es den Umlaufbestand aktualisieren wird, wenn es ein klareres Bild von den in den Hacker-Wallets feststeckenden Token und der möglichen Rückholung hat.
Was hat den MANTRA-Exploit verursacht?
Laut der MANTRA Post-Mortem, der Exploit begann im gemeinsamen cosmos/evm-Modul, das es verwendet, um Ethereum-ähnliche Verträge auf der Cosmos SDK auszuführen.
Die betroffene Version hat nicht überprüft, ob ein Konto einen Aufruf decken konnte, bevor es Subtraktionen vom Guthaben eines Kontos genehmigte. Die Subtraktionen wurden weiterhin durchgeführt, weil der Code vorzeichenlose Ganzzahlen verwendete, die nicht unter Null gehen können. Stattdessen wickelte er sich einfach zu einer enormen Zahl auf.
MANTRA klärte, dass keiner seiner Validator-Schlüssel, Governance-Kontrollen oder Multisig-Signer kompromittiert wurde. Das Projekt bestand auch darauf, dass der Codefehler, den der Angreifer ausnutzte, nicht von seiner eigenen Seite stammte.
MANTRA schrieb, dass „Der Angreifer keinen privilegierten Zugriff benötigte“, da er genug hatte, um die Aufgabe mit einem permissionless bereitgestellten Vertrag und einer selbstfinanzierten Wallet zu erledigen.
Wie viel hat MANTRA verloren?
Laut MANTRA hat der Angreifer etwa 600 Millionen MANTRA und weitere 120,9 Millionen Token aus seiner Burn-Adresse bzw. einer inaktiven Genesis-Ära-Multisig, die an eine alte Anreizkampagne gebunden ist, extrahiert.
MANTRA klärte die technische Nuance der Auswirkungen des Angriffs und bestand darauf, dass keine neuen Token gemintet wurden. Stattdessen wurde der Exploit etwa 720,9 Millionen Token freigesetzt, die außerhalb des Umlaufbestands gesessen und als wirtschaftlich inert galten, und in den Umlauf gebracht.
Der Bericht deutete auch die programmatische Taktung der Token-Bewegungen an, da Transaktionen in festen Größen und kurzen Intervallen zu erfolgen schienen, anstatt manuell verarbeitet zu werden.
MANTRA verpasste die Transaktionen in Echtzeit
Nach eigener Aussage gab das MANTRA-Team zu, in den ersten vier Stunden des Einbruchs keine bösartigen Transaktionen entdeckt zu haben. MANTRA erklärte diese Unachtsamkeit mit dem Fehlen einer rund-um-die-Uhr-Überwachung einer Burn-Adresse, die dazu dienen sollte, Token zurückzuhalten, die eigentlich unverrückbar sein sollten.
In den Stunden, bevor das Team die roten Fahnen bemerkte, führte der Angreifer zwei Transaktionen durch und verlagerte den Großteil seiner Beute off-chain, bevor die Validatoren das Netzwerk um 23:13 UTC, 14 Minuten nach dem zweiten Abfluss, anhielten.
Die Wallet des Angreifers enthielt zu diesem Zeitpunkt noch 37,96 Millionen Token.
Die Das Netzwerk blieb offline für 30 Stunden und 13 Minuten bis 05:26 UTC am 22. August, nachdem die Validatoren einen Neustart auf der gepatchten Version v8.4.0 koordiniert hatten.
MANTRA hätte diese jüngste Episode gut entbehren können, um einen dramatischen 18 Monate für ein Projekt abzuschließen, das immer noch versucht, Vertrauen wiederherzustellen. MANTRAs ehemaliger OM-Token brach in einer einzigen Sitzung im April 2025 um mehr als 90 % ein und löschte einen Wert von über 5 Milliarden US-Dollar aus, wie Cryptopolitan damals berichtete.
Sogar Inveniam Capital Partners, das 2025 20 Millionen US-Dollar in MANTRA investierte, erkannte vergangene Probleme an als es im Juni den Erwerb des Projekts vereinbarte.
Als der Halt erstmals eintrat, sank der Token um 18.5% auf ein Rekordtief nahe 0,004126 US-Dollar, bevor er sich erholte, laut CoinGecko-Daten.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Wie viel wurde beim MANTRA-Exploit gestohlen?
Der Angreifer bewegte insgesamt 720.923.967,99 MANTRA, was einem Wert von etwa 3,6 Millionen US-Dollar zum Preis vor dem Vorfall von 0,005 US-Dollar pro Token entspricht. Dabei wurden rund 600 Millionen von der Burn-Adresse der Chain und 120,9 Millionen von einer Legacy-Multisig aus der Genesis-Phase entnommen.
Wurden Kunden- oder Börsengelder verloren?
Nein. Laut dem Post-Mortem von MANTRA wurde kein Kundenkonto, kein bei einer Börse verwahrter Saldo, keine Einzahlungsadresse und kein Anwendungscontract belastet, obwohl das Netzwerk 30 Stunden und 13 Minuten nicht verfügbar war und einige Börsen Ein- und Auszahlungen länger pausierten.
Ist die Sicherheitslücke behoben und ist die Chain wieder online?
Ja. Die Statusseite von MANTRA bestätigt, dass der Fehler im Cosmos-EVM-Modul in der Version 8.4.0 behoben wurde und das Mainnet seit der Wiederaufnahme der Blockproduktion um ca. 05:30 UTC am 22. August 2026 ganz normal Blöcke produziert, ohne dass es zu einem Rollback oder Zustandsänderungen kam.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
