Sin plan de recuperación a la vista mientras MANTRA publica el informe pormenorizado posterior a la explotación
- El informe posterior al incidente del 28 de agosto de MANTRA Chain indica que un atacante explotó un error de desbordamiento por defecto en enteros sin signo en el módulo cosmos/evm.
- La extracción ascendió a unos 720,9 millones de MANTRA, aproximadamente 3,6 millones de dólares, extraídos de una dirección de quema y de un multisig heredado el 20 de agosto.
- No se descontaron fondos de clientes ni se emitieron nuevos tokens.
MANTRA Chain se abstuvo de comprometerse con un plan de recuperación de fondos en el informe pormenorizado completo del incidente que publicó el 28 de agosto. En su lugar, la publicación presentó un resumen formal del incidente del 20 al 21 de agosto, en el que un atacante drenó aproximadamente 720,9 millones de MANTRA, valorados en unos 3,6 millones de dólares del proyecto.
La divulgación de hoy asignó formalmente un valor en dólares al ataque de hace una semana, en el que el proyecto insiste en que se debió a un error de codificación no relacionado directamente con su propio código.
Mientras tanto, MANTRA confirmó que las fuerzas del orden ya están involucradas y que las actualizaciones están pendientes de los esfuerzos de recuperación de fondos. También dijo que actualizará su oferta circulante cuando tenga una imagen más clara de los tokens atrapados en las billeteras de los hackers y de la posible recuperación.
¿Qué causó la explotación de MANTRA?
De acuerdo con el Informe pormenorizado de MANTRA Chain, la explotación comenzó en el módulo compartido cosmos/evm que utiliza para ejecutar contratos estilo Ethereum sobre el SDK de Cosmos.
La versión afectada no verificaba que una cuenta pudiera cubrir una llamada antes de aprobar las restas del saldo de la cuenta. Las restas continuaron procesándose porque el código utilizaba enteros sin signo, que no pueden bajar de cero. En su lugar, simplemente se ajustó a un número enorme.
MANTRA aclaró que ninguna de sus claves de validador, controles de gobernanza o firmantes multisig fue comprometida. El proyecto también insistió en que el error de código que el atacante explotó no provenía de su propio extremo.
MANTRA escribió que «el atacante no requirió acceso privilegiado», ya que tenía suficiente con un contrato implementado sin permisos y una billetera autofinanciada para hacer el trabajo.
¿Cuánto perdió MANTRA?
Según MANTRA, el atacante extrajo aproximadamente 600 millones de MANTRA y otros 120,9 millones de tokens de su dirección de quema y de una multisig inactiva de la era génesis vinculada a una antigua campaña de incentivos, respectivamente.
MANTRA aclaró la tecnicidad del impacto del ataque, insistiendo en que no se acuñaron nuevos tokens. Lo que sucedió, en cambio, fue que la explotación liberó aproximadamente 720,9 millones de tokens que habían permanecido fuera de la oferta circulante y se consideraban económicamente inertes, introduciéndolos en la circulación.
El informe también insinuaba la cadencia programática del movimiento de tokens, ya que las transacciones parecían procesarse a tamaños fijos en intervalos cortos en lugar de ser procesadas manualmente.
MANTRA no detectó las transacciones en tiempo real
Por su propia admisión, el equipo de MANTRA dijo que no detectó ninguna transacción maliciosa durante las primeras cuatro horas de la brecha. MANTRA explicó esta negligencia como una falta de monitoreo las 24 horas de un address de quema destinado a retener tokens que supuestamente no debían moverse.
En las horas anteriores a que el equipo detectara las señales de alarma, el atacante ejecutó dos transacciones y movió la mayor parte de su botín fuera de la cadena antes de que los validadores detuvieran la red a las 23:13 UTC, 14 minutos después del segundo vaciado.
La billetera del atacante aún contenía 37,96 millones de tokens en el momento en que se detuvo la cadena.
El la red permaneció fuera de línea durante 30 horas y 13 minutos hasta las 05:26 UTC del 22 de agosto, después de que los validores coordinaran un reinicio en la versión parcheada v8.4.0.
MANTRA podría haber prescindido de este último episodio para coronar un dramático 18 meses para un proyecto que aún intenta reconstruir la confianza. El antiguo token OM de MANTRA cayó más del 90% en una sola sesión de abril de 2025, borrando más de $5 mil millones en valor, como Cryptopolitan cubrió en su momento.
Incluso Inveniam Capital Partners, que invirtió $20 millones en MANTRA en 2025, reconoció problemas pasados cuando acordó en junio adquirir el proyecto.
Cuando se produjo la primera parada, el token cayó 18.5% hasta un mínimo histórico cerca de $0,004126 antes de recuperarse, según los datos de CoinGecko.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Cuánto se robó en la explotación de MANTRA?
El atacante movió un total de 720.923.967,99 MANTRA, valorados en unos 3,6 millones de dólares al precio previo al incidente de 0,005 dólares por token, retirando aproximadamente 600 millones de la dirección de quema de la cadena y 120,9 millones de un multisig heredado de la era del génesis.
¿Se perdieron fondos de clientes o de exchanges?
No. Según el informe posterior al incidente de MANTRA, no se descontaron fondos de ninguna cuenta de cliente, saldo mantenido por un exchange, dirección de depósito ni contrato de aplicación, aunque la red estuvo inaccesible durante 30 horas y 13 minutos y algunos exchanges pausaron los depósitos y retiros por más tiempo.
¿Se ha corregido la vulnerabilidad y está la cadena operativa nuevamente?
Sí. La página de estado de MANTRA confirma que la falla en el módulo Cosmos-EVM fue remediada en la versión v8.4.0, y la mainnet ha producido bloques normalmente desde que se reanudó la producción de bloques alrededor de las 05:30 UTC del 22 de agosto de 2026, sin retrocesos ni cambios de estado.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
