Раскрыты детали атаки на MANTRA Chain
Хронология и детали атаки
Команда проекта MANTRA Chain обнародовала детали атаки, случившейся 20 августа 2026 года. В результате инцидента было несанкционированно перемещено 720,9 млн токенов MANTRA. Исходя из курса на конец дня, сумма ущерба оценивалась приблизительно в 3,6 млн долларов.
Атакующий вывел средства посредством двух транзакций. Первый перевод на 600 млн токенов произошел с адреса сжигания сети, второй — на 120,9 млн токенов — со старого мультиподписного кошелька эпохи genesis, задействованного в программе поощрений. До инцидента эти балансы считались экономически неактивными и не входили в расчет циркулирующего предложения.
Причины уязвимости в модуле Cosmos EVM
Первопричиной происшествия стала ошибка типа unsigned-integer underflow в механизме согласования балансов. Она находилась в модуле Cosmos EVM, применяемом сетью для реализации совместимости с виртуальной машиной Ethereum поверх архитектуры Cosmos SDK. Проблемный участок кода производил арифметическое вычитание без предварительной проверки достаточности средств.
Злоумышленник использовал эту особенность совместно со специально сформированной учетной записью и вызовом через staking precompile. Данная комбинация позволила инициировать списание активов с адреса без стандартной авторизации. При этом команда подчеркнула, что приватные ключи валидаторов, администраторов и механизмы мультиподписей не были скомпрометированы.
Остановка сети и меры реагирования
Работа MANTRA Chain была принудительно приостановлена, и сеть оставалась недоступной 30 часов и 13 минут. За этот период разработчики подготовили экстренное обновление v8.4.0, которое устранило недостаток. Некорректные операции вычитания теперь завершаются ошибкой без изменения баланса, а создание специального типа учетных записей без соответствующего разрешения заблокировано.
Сеть возобновила обработку транзакций 22 августа без применения механизмов отката состояния или аннулирования легитимных операций. Почти 683 млн MANTRA злоумышленник перевел на депозитный адрес биржи. Еще около 38 млн токенов остаются на его кошельке и помечены как заблокированные. Проект инициировал процедуры возврата активов и взаимодействует с правоохранительными органами и торговыми платформами.