Nessun piano di recupero in vista, mentre MANTRA rilascia l'exploit post-mortem
- L'analisi post-mortem di MANTRA Chain del 28 agosto rivela che un aggressore ha sfruttato una vulnerabilità di underflow per i numeri interi senza segno nel modulo /evm cosmos.
- Il prelievo ammontava a circa 720,9 milioni di MANTRA, pari a circa 3,6 milioni di dollari, da un indirizzo di pagamento e da una multisig legacy il 20 agosto.
- Non è stato addebitato alcun fondo ai clienti e non sono stati coniati nuovi token.
Nel rapporto completodent , pubblicato il 28 agosto, MANTRA Chain non si è impegnata a definire un piano di recupero fondi. Il documento ha invece fornito un riepilogo formaledent avvenuto tra il 20 e il 21 agosto, durante il quale un hacker ha sottratto circa 720,9 milioni di MANTRA, per un valore di circa 3,6 milioni di dollari, dal progetto.
La comunicazione odierna ha formalmente attribuito un valore in dollari all'attacco avvenuto una settimana fa, che il progetto insiste essere stato causato da un difetto di programmazione non direttamente correlato al proprio codice.
Nel frattempo, MANTRA ha confermato il coinvolgimento delle forze dell'ordine e ha dichiarato che seguiranno aggiornamenti in merito alle attività di recupero dei fondi. Ha inoltre affermato che aggiornerà la quantità di token in circolazione non appena avrà un quadro più chiaro dei token bloccati nei portafogli degli hacker e delle possibili modalità di recupero.
Quali sono state le cause della vulnerabilità MANTRA?
Secondo l' analisi post-mortem di MANTRA Chain, la vulnerabilità è stata sfruttata a partire dal modulo condiviso cosmos/evm, utilizzato per eseguire Ethereumin stiletractramite l' Cosmos .
La versione interessata non verificava se un conto avesse fondi sufficienti a coprire una chiamata prima di approvare letracdal saldo del conto. Letraccontinuavano ad essere effettuate perché il codice utilizzava numeri interi senza segno, che non possono scendere al di sotto di zero. Di conseguenza, il valore si arrotondava a un numero enorme.
MANTRA ha chiarito che nessuna delle sue chiavi di validazione, dei controlli di governance o dei firmatari multisig è stata violata. Il progetto ha inoltre insistito sul fatto che la falla nel codice sfruttata dall'attaccante non proveniva dai suoi sistemi interni.
MANTRA ha scritto che "l'attaccante non necessitava di accesso privilegiato" poiché aveva a disposizione tutto il necessario per portare a termine il lavoro con untracdistribuito senza autorizzazioni e un portafoglio autofinanziato.
Quanto ha perso MANTRA?
Secondo MANTRA, l'attaccante hatraccirca 600 milioni di token MANTRA e altri 120,9 milioni di token dal suo indirizzo di burn e da una multisig dormiente dell'era genesi legata a una vecchia campagna di incentivi, rispettivamente.
MANTRA ha chiarito gli aspetti tecnici dell'impatto dell'attacco, insistendo sul fatto che non sono stati coniati nuovi token. Ciò che è accaduto, invece, è che l'exploit ha immesso in circolazione circa 720,9 milioni di token che si trovavano al di fuori della fornitura circolante e che erano considerati economicamente inerti.
Il rapporto ha inoltre evidenziato la cadenzamatic del movimento dei token, poiché le transazioni sembravano avvenire in importi fissi a brevi intervalli, anziché essere elaborate manualmente.
MANTRA ha perso le transazioni in tempo reale
Il team di MANTRA ha ammesso di non aver rilevato alcuna transazione illecita nelle prime quattro ore successive alla violazione. MANTRA ha attribuito la negligenza alla mancanza di un monitoraggio costante di un indirizzo di "burning" destinato a contenere token che avrebbero dovuto essere inamovibili.
Nelle ore precedenti all'individuazione dei segnali d'allarme da parte del team, l'attaccante ha effettuato due transazioni e spostato la maggior parte del bottino fuori dalla blockchain prima che i validatori bloccassero la rete alle 23:13 UTC, 14 minuti dopo il secondo prelievo.
Nel momento in cui la blockchain è stata bloccata, il portafoglio dell'attaccante conteneva ancora 37,96 milioni di token.
La rete è rimasta offline per 30 ore e 13 minuti, fino alle 05:26 UTC del 22 agosto, dopo che i validatori hanno coordinato un riavvio sulla versione patchata v8.4.0.
MANTRA avrebbe volentieri fatto a meno di quest'ultimo episodio, che conclude in modo 18matic mesi per un progetto ancora impegnato a ricostruire la fiducia. Il precedente token OM di MANTRA è crollato di oltre il 90% in una singola sessione di aprile 2025, cancellando oltre 5 miliardi di dollari di valore, come Cryptopolitan riportato all'epoca
Anche Inveniam Capital Partners, che ha investito 20 milioni di dollari in MANTRA nel 2025, ha riconosciuto i problemi passati quando, a giugno, ha accettato di acquisire il progetto.
Secondo i dati di CoinGecko, al momento del blocco iniziale, il token ha subito un calo del 18,5%, raggiungendo un minimo storico di circa 0,004126 dollari, prima di riprendersi
Le menti più brillanti del mondo delle criptovalute leggono già la nostra newsletter. Vuoi partecipare? Unisciti a loro.
Domande frequenti
Quanto è stato rubato con l'attacco MANTRA?
L'attaccante ha spostato in totale 720.923.967,99 token MANTRA, per un valore di circa 3,6 milioni di dollari al prezzo pre-dent di 0,005 dollari per token, prelevandone circa 600 milioni dall'indirizzo di burn della blockchain e 120,9 milioni da una firma multipla preesistente risalente all'era Genesis.
Sono andati persi fondi dei clienti o della piattaforma di scambio?
No. Secondo l'analisi post-mortem di MANTRA, nessun conto cliente, saldo detenuto presso gli exchange, indirizzo di deposito otracapplicativo è stato addebitato, sebbene la rete sia rimasta non disponibile per 30 ore e 13 minuti e alcuni exchange abbiano sospeso depositi e prelievi per un periodo più lungo.
La vulnerabilità è stata risolta e la blockchain è di nuovo online?
Sì. La pagina di stato di MANTRA conferma che la falla nel modulo Cosmos-EVM è stata corretta nella versione 8.4.0 e che la mainnet ha prodotto blocchi normalmente da quando la produzione di blocchi è ripresa intorno alle 05:30 UTC del 22 agosto 2026, senza rollback o modifiche di stato.
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi dieci anni di esperienza nella scrittura di blog e nella cronaca di eventi nel settore delle criptovalute. Collabora con Cryptopolitan, occupandosi della pagina notizie e analizzando gli ultimi sviluppi in ambito DeFi, RWA, regolamentazione delle criptovalute, intelligenza artificiale e tecnologie all'avanguardia. Si è laureata in Economia aziendale presso l'Università di Arcadia.
