Nenhum plano de recuperação à vista enquanto MANTRA lança pós-mortem da exploração

A MANTRA Chain parou antes de se comprometer com um plano de recuperação de fundos no relatório completo de pós-mortem do incidente que publicou em 28 de agosto. Em vez disso, a publicação apresentou um resumo formal do incidente de 20-21 de agosto em que um atacante drenou cerca de 720,9 milhões de MANTRA, valendo cerca de $3,6 milhões do projeto.

A divulgação de hoje atribuiu formalmente um valor em dólar ao ataque de uma semana, no qual o projeto insiste que foi devido a uma falha de codificação não diretamente relacionada ao seu próprio código.

Enquanto isso, a MANTRA confirmou que as autoridades policiais agora estão envolvidas e que as atualizações estão pendentes dos esforços de recuperação de fundos. Ela também disse que atualizará seu fornecimento em circulação quando tiver uma imagem mais clara dos tokens presos nas carteiras dos hackers e da recuperação potencial.

O que causou a exploração da MANTRA?

De acordo com o Pós-mortem da MANTRA Chain, a exploração começou no módulo cosmos/evm compartilhado que usa para executar contratos estilo Ethereum acima do Cosmos SDK.

A versão afetada não verificou se uma conta poderia cobrir uma chamada antes de aprovar subtrações do saldo de uma conta. As subtrações continuaram a ser processadas porque o código usava inteiros sem sinal, que não podem ficar abaixo de zero. Em vez disso, apenas envolveu em torno de um número enorme.

A MANTRA esclareceu que nenhuma de suas chaves de validador, controles de governança ou signatários multisig foram violados. O projeto também insistiu que a falha de código que o atacante explorou não veio do seu próprio lado.

A MANTRA escreveu que “O atacante não exigia acesso privilegiado” já que eles tinham o suficiente para fazer o trabalho com um contrato implantado sem permissão e uma carteira autofinanciada.

Quanto a MANTRA perdeu?

Por MANTRA, o atacante extraiu cerca de 600 milhões de MANTRA e outros 120,9 milhões de tokens de seu endereço de queima e uma multisig adormecida da era genesis vinculada a uma antiga campanha de incentivo, respectivamente.

A MANTRA esclareceu a tecnicidade do impacto do ataque, insistindo que nenhum novo token foi cunhado. O que aconteceu, em vez disso, foi que a exploração libertou cerca de 720,9 milhões de tokens que estavam fora do fornecimento em circulação e considerados economicamente inertes para a circulação.

O relatório também insinuou a cadência programática do movimento de tokens, já que as transações pareciam ser processadas em tamanhos fixos em intervalos curtos, em vez de serem processadas manualmente.

A MANTRA não detectou as transações em tempo real

Por sua própria admissão, a equipe da MANTRA disse que não capturou nenhuma transação suspeita nas primeiras quatro horas da violação. A MANTRA explicou a negligência como uma falta de monitoramento 24 horas por dia de um endereço de queima destinado a reter tokens que deveriam ser imutáveis.

Nas horas anteriores à detecção das bandeiras vermelhas pela equipe, o atacante realizou duas transações e moveu a maior parte do seu saque off-chain antes que os validadores parassem a rede às 23:13 UTC, 14 minutos após o segundo dreno.

A carteira do atacante ainda continha 37,96 milhões de tokens no momento em que a cadeia foi interrompida.

O a rede permaneceu offline por 30 horas e 13 minutos até 05:26 UTC em 22 de agosto, após os validadores coordenarem uma reinicialização na versão corrigida v8.4.0.

A MANTRA poderia ter evitado este último episódio para encerrar um período dramático 18 para um projeto que ainda tenta reconstruir a confiança. O antigo token OM da MANTRA despencou mais de 90% em uma única sessão em abril de 2025, apagando mais de US$ 5 bilhões em valor, conforme a Cryptopolitan cobriu na época.

Até a Inveniam Capital Partners, que investiu US$ 20 milhões na MANTRA em 2025, reconheceu problemas passados quando concordou em junho em adquirir o projeto.

Quando a interrupção ocorreu pela primeira vez, o token despencou 18.5% para um recorde baixo perto de US$ 0,004126 antes de se recuperar, de acordo com dados da CoinGecko.