Que estén bloqueadas no significa que estén a salvo: ¡los hackers están retirando del staking las monedas MANTRA de las víctimas!
El 13 de nov., MANTRA pausó durante 7 días las nuevas solicitudes para retirar monedas del staking. El período de espera que protege a quienes hacen staking solo funciona si quien solicita retirar las monedas eres tú.
Hacer staking significa bloquear tus monedas para ayudar a operar una cadena de bloques. Para recuperarlas, solicitas retirarlas del staking y esperas (8 días en MANTRA).
¿Cómo llegamos a esto?
> Keplr, una billetera popular para monedas basadas en Cosmos, te permite abrir una cuenta con una frase semilla, un dispositivo físico o un inicio de sesión de Google o Apple.
> Con el inicio de sesión de Google o Apple, un servicio externo llamado Web3Auth genera tu clave privada (la contraseña maestra de tus monedas), en lugar de usar una frase que hayas anotado.
> El 6 de nov., una falla en Web3Auth dejó expuestas algunas de esas claves. El cofundador de Keplr afirma que no fue un hackeo del código de Keplr y calcula que se vio afectado alrededor del 20 % de las cuentas con inicio de sesión de Google y Apple.
> Según MANTRA, los ladrones primero se llevaron las monedas disponibles y luego empezaron a retirar del staking las que estaban en staking. MANTRA congeló sus billeteras mediante una votación de gobernanza y pausó las nuevas solicitudes para retirar monedas del staking. Hará una nueva evaluación después de 7 días.
Las solicitudes para retirar monedas del staking que ya están en curso no se han pausado. Según MANTRA, cualquiera que tenga una solicitud en curso debe volver a hacer staking (delegar de nuevo) antes de que terminen los 8 días; de lo contrario, el ladrón podrá reclamar las monedas.
¿Qué tan grande es el problema? Aún no se sabe con certeza. Bitquery rastreó unos $6M que salieron de más de 44,000 billeteras, pero una parte correspondía a Web3Auth rescatando monedas antes que los ladrones. GoPlus calcula que se robaron al menos unos $1M. Todavía no hay una cifra final ni un plan de reembolso.
Revisión rápida, según las recomendaciones de Keplr:
- Las cuentas con frase semilla y billetera física no se vieron afectadas. Sí se vieron afectadas las cuentas con inicio de sesión de Google o Apple.
- Si usas un inicio de sesión social: deja de depositar y mueve las monedas disponibles a una cuenta con frase semilla o billetera física.
- Ignora los mensajes directos y enlaces que ofrezcan «ayuda para recuperar» tus monedas. Confía únicamente en las publicaciones oficiales de Keplr y Web3Auth.
¿Qué hay que seguir de cerca? La revisión de MANTRA, alrededor del 20 de nov. (UTC). ¿Se levantará la pausa, se extenderá o se explicará?
Quien tiene la clave controla la cerradura.
¿Cómo creaste tu billetera: con una frase semilla, un dispositivo físico o un inicio de sesión social?
Experiencia personal, no asesoramiento financiero. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
El 13 de nov., MANTRA pausó durante 7 días las nuevas solicitudes para retirar monedas del staking. El período de espera que protege a quienes hacen staking solo funciona si quien solicita retirar las monedas eres tú.
Hacer staking significa bloquear tus monedas para ayudar a operar una cadena de bloques. Para recuperarlas, solicitas retirarlas del staking y esperas (8 días en MANTRA).
¿Cómo llegamos a esto?
> Keplr, una billetera popular para monedas basadas en Cosmos, te permite abrir una cuenta con una frase semilla, un dispositivo físico o un inicio de sesión de Google o Apple.
> Con el inicio de sesión de Google o Apple, un servicio externo llamado Web3Auth genera tu clave privada (la contraseña maestra de tus monedas), en lugar de usar una frase que hayas anotado.
> El 6 de nov., una falla en Web3Auth dejó expuestas algunas de esas claves. El cofundador de Keplr afirma que no fue un hackeo del código de Keplr y calcula que se vio afectado alrededor del 20 % de las cuentas con inicio de sesión de Google y Apple.
> Según MANTRA, los ladrones primero se llevaron las monedas disponibles y luego empezaron a retirar del staking las que estaban en staking. MANTRA congeló sus billeteras mediante una votación de gobernanza y pausó las nuevas solicitudes para retirar monedas del staking. Hará una nueva evaluación después de 7 días.
Las solicitudes para retirar monedas del staking que ya están en curso no se han pausado. Según MANTRA, cualquiera que tenga una solicitud en curso debe volver a hacer staking (delegar de nuevo) antes de que terminen los 8 días; de lo contrario, el ladrón podrá reclamar las monedas.
¿Qué tan grande es el problema? Aún no se sabe con certeza. Bitquery rastreó unos $6M que salieron de más de 44,000 billeteras, pero una parte correspondía a Web3Auth rescatando monedas antes que los ladrones. GoPlus calcula que se robaron al menos unos $1M. Todavía no hay una cifra final ni un plan de reembolso.
Revisión rápida, según las recomendaciones de Keplr:
- Las cuentas con frase semilla y billetera física no se vieron afectadas. Sí se vieron afectadas las cuentas con inicio de sesión de Google o Apple.
- Si usas un inicio de sesión social: deja de depositar y mueve las monedas disponibles a una cuenta con frase semilla o billetera física.
- Ignora los mensajes directos y enlaces que ofrezcan «ayuda para recuperar» tus monedas. Confía únicamente en las publicaciones oficiales de Keplr y Web3Auth.
¿Qué hay que seguir de cerca? La revisión de MANTRA, alrededor del 20 de nov. (UTC). ¿Se levantará la pausa, se extenderá o se explicará?
Quien tiene la clave controla la cerradura.
¿Cómo creaste tu billetera: con una frase semilla, un dispositivo físico o un inicio de sesión social?
Experiencia personal, no asesoramiento financiero. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
