MANTRA Chain kam in dem vollständigen Incident-Post-Mortem-Bericht, den das Unternehmen am 28. August veröffentlichte, nicht dazu, sich auf einen Plan zur Rückgewinnung von Mitteln festzulegen. Stattdessen lieferte die Veröffentlichung eine formelle Zusammenfassung des Vorfalls vom 20. bis 21. August: Dabei soll ein Angreifer ungefähr 720,9 Millionen MANTRA abgezogen haben, was etwa 3,6 Millionen US-Dollar für das Projekt wert war.
Die heutige Offenlegung ordnete dem einwöchigen Angriff erstmals offiziell einen Dollarwert zu. Das Projekt betont, der Vorfall sei auf einen Programmierfehler zurückzuführen gewesen, der nicht direkt mit seinem eigenen Code zusammenhing.
In der Zwischenzeit bestätigte MANTRA, dass mittlerweile Strafverfolgungsbehörden involviert sind und dass Updates in Erwartung der laufenden Bemühungen zur Rückgewinnung von Mitteln ausstehen. Außerdem erklärte das Unternehmen, dass es die umlaufende Gesamtmenge aktualisieren werde, sobald es ein klareres Bild davon hat, welche Tokens in Hacker-Wallets feststecken und welche potenziellen Wiederherstellungsmaßnahmen möglich sind.
Was verursachte den MANTRA-Exploit?
Laut dem MANTRA-Chain-Post-Mortem begann der Exploit bei dem gemeinsamen cosmos/evm-Modul, das es verwendet, um Ethereum-ähnliche Verträge auf dem Cosmos SDK auszuführen.
Die betroffene Version prüfte nicht, ob ein Konto einen Aufruf abdecken konnte, bevor sie Abzüge vom Kontostand genehmigte. Die Abzüge wurden weiterhin durchgeführt, weil der Code vorzeichenlose Ganzzahlen verwendete, die nicht unter null fallen können. Stattdessen wickelte der Wert einfach auf eine enorme Zahl zurück.
MANTRA stellte klar, dass weder seine Validator-Schlüssel, Governance-Kontrollen noch Multisig-Signer kompromittiert wurden. Das Projekt bestand außerdem darauf, dass der vom Angreifer ausgenutzte Programmfehler nicht aus dem eigenen Bereich stammte.
MANTRA schrieb, dass „der Angreifer keinen privilegierten Zugriff benötigte“, da er genug hatte, um die Aufgabe mit einem ohne Erlaubnis bereitgestellten Vertrag und einer selbst finanzierten Wallet zu erledigen.
Wie viel verlor MANTRA?
Laut MANTRA zog der Angreifer etwa 600 Millionen MANTRA und weitere 120,9 Millionen Token aus seiner Burn-Adresse sowie einer inaktiven Multisig aus der Genesis-Ära ab, die mit einer alten Incentive-Kampagne verknüpft war.
MANTRA stellte die technische Tragweite des Angriffs klar und betonte, dass keine neuen Token geprägt wurden. Stattdessen setzte der Exploit rund 720,9 Millionen Token frei, die außerhalb des zirkulierenden Angebots gelegen und als wirtschaftlich inaktiv betrachtet worden waren, und brachte sie in Umlauf.
Der Bericht deutete außerdem auf den programmatischen Rhythmus der Tokenbewegungen hin, da die Transaktionen anscheinend in festen Größen und in kurzen Abständen stattfanden, statt manuell verarbeitet zu werden.
MANTRA verpasste die Transaktionen in Echtzeit
Nach eigener Aussage gab das MANTRA-Team an, in den ersten vier Stunden des Vorfalls keine unautorisierten Transaktionen bemerkt zu haben. MANTRA erklärte die Nachlässigkeit mit dem Fehlen einer Überwachung rund um die Uhr für eine Burn-Adresse, die Token halten sollte, die eigentlich unbeweglich sein sollten.
In den Stunden bevor das Team die Warnsignale bemerkte, führte der Angreifer zwei Transaktionen aus und bewegte den Großteil der Beute off-chain, bevor Validierer das Netzwerk um 23:13 UTC stoppten, 14 Minuten nach dem zweiten Abzug.
Die Wallet des Angreifers enthielt zum Zeitpunkt des Stillstands der Chain immer noch 37,96 Millionen Token.
Das Netzwerk blieb 30 Stunden und 13 Minuten lang offline, bis zum 22. August um 05:26 UTC, nachdem Validierer einen Neustart auf der gepatchten Version v8.4.0 koordiniert hatten.
MANTRA hätte diese neueste Episode nicht gebraucht, um ein dramatisches 18-monatiges Kapitel für ein Projekt abzuschließen, das immer noch versucht, Vertrauen wieder aufzubauen. MANTRAs früherer OM-Token brach in einer einzigen Sitzung im April 2025 um mehr als 90 % ein und vernichtete dabei über 5 Milliarden Dollar an Wert, wie Cryptopolitan damals berichtete.
Sogar Inveniam Capital Partners, das 2025 20 Millionen Dollar in MANTRA investierte, räumte vergangene Probleme ein, als es sich im Juni zur Übernahme des Projekts entschloss.
Als der Stillstand einsetzte, fiel der Token laut CoinGecko-Daten um 18,5 % auf ein Rekordtief nahe 0,004126 Dollar, bevor er sich wieder erholte.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.