El hacker terminó de vaciar los activos al contado y ahora va a por tu staking
La noche del 13 de noviembre, MANTRA publicó un mensaje: debido a la filtración de claves privadas de Keplr y Web3Auth, después de vaciar $MANTRA de las billeteras de los usuarios, el hacker empezó a solicitar el desbloqueo del staking en su nombre.
La respuesta de MANTRA fue pausar durante 7 días todas las nuevas solicitudes de desbloqueo, reservándose el derecho de ampliar el plazo.
¿Por qué pausar los «desbloqueos» puede protegerte?
El staking en Cosmos tiene un período de espera. En MANTRA son 8 días: al solicitar el desbloqueo, hay que esperar en la cola 8 días para recibir los tokens.
Si el hacker tiene tus claves privadas, puede solicitar el desbloqueo en tu nombre y llevarse los tokens al cabo de 8 días.
Pausar las nuevas solicitudes de desbloqueo equivale a soldar la puerta de salida.
Pero quienes ya solicitaron el desbloqueo no están cubiertos por esta medida.
La indicación oficial es volver a delegar antes de que termine el período de espera de 8 días y recuperar los tokens por cuenta propia.
Quienes ya están en la cola solo pueden confiar en la rapidez con la que actúen.
MANTRA ya había congelado varias billeteras vinculadas al hacker mediante la propuesta de gobernanza n.º 41.
Aquí se ve la ventaja de la gobernanza on-chain: no hace falta atención al cliente ni revisión; una vez aprobada la propuesta, las direcciones se congelan directamente.
Tengo tres conclusiones.
Primera: esto demuestra que la «seguridad de la billetera» ya no es un asunto que concierna solo a la propia billetera. El mecanismo de staking de una cadena, el período de espera para desbloquear y la rapidez de respuesta de su gobernanza forman parte de la seguridad de tus activos.
Segunda: el coste también está claro: para salvar a algunos, se congela la liquidez de todos durante 7 días. Se sacrifica la comodidad de la mayoría para proteger el capital de una minoría. Puede compensar, pero no deja de tener un coste.
Tercera: lo más preocupante es la paradoja: la cadena puede congelar la billetera del hacker, pero también puede congelar la tuya. Para las cadenas públicas de RWA, es un requisito de cumplimiento normativo; para quienes tienen tokens, significa que «los tokens no te pertenecen del todo».
En adelante, para evaluar la capacidad de una cadena de reaccionar ante un incidente, fíjate en tres cosas:
¿Tiene herramientas de gobernanza para congelar direcciones?
¿Cuánto se tarda en congelarlas? ¿Hace falta una propuesta o un hard fork?
¿Se han utilizado estas herramientas antes? ¿Cuántas veces?
Y un dato aún más práctico: la ventana real de seguridad de los activos on-chain equivale a la duración del período de desbloqueo.
Cuanto más largo sea ese período, más difícil lo tendrá el hacker para escapar una vez que consiga robar los activos. Pero si eres tú quien quiere salir, también tendrás que esperar.
La seguridad y la liquidez siempre han sido las dos caras de la misma moneda.
¿Tienes tus MANTRA en staking?
¿Creaste la billetera con una frase semilla o iniciando sesión con Google o Apple con un solo clic?
#MANTRA因Keplr安全事件暂停解除质押7天
La noche del 13 de noviembre, MANTRA publicó un mensaje: debido a la filtración de claves privadas de Keplr y Web3Auth, después de vaciar $MANTRA de las billeteras de los usuarios, el hacker empezó a solicitar el desbloqueo del staking en su nombre.
La respuesta de MANTRA fue pausar durante 7 días todas las nuevas solicitudes de desbloqueo, reservándose el derecho de ampliar el plazo.
¿Por qué pausar los «desbloqueos» puede protegerte?
El staking en Cosmos tiene un período de espera. En MANTRA son 8 días: al solicitar el desbloqueo, hay que esperar en la cola 8 días para recibir los tokens.
Si el hacker tiene tus claves privadas, puede solicitar el desbloqueo en tu nombre y llevarse los tokens al cabo de 8 días.
Pausar las nuevas solicitudes de desbloqueo equivale a soldar la puerta de salida.
Pero quienes ya solicitaron el desbloqueo no están cubiertos por esta medida.
La indicación oficial es volver a delegar antes de que termine el período de espera de 8 días y recuperar los tokens por cuenta propia.
Quienes ya están en la cola solo pueden confiar en la rapidez con la que actúen.
MANTRA ya había congelado varias billeteras vinculadas al hacker mediante la propuesta de gobernanza n.º 41.
Aquí se ve la ventaja de la gobernanza on-chain: no hace falta atención al cliente ni revisión; una vez aprobada la propuesta, las direcciones se congelan directamente.
Tengo tres conclusiones.
Primera: esto demuestra que la «seguridad de la billetera» ya no es un asunto que concierna solo a la propia billetera. El mecanismo de staking de una cadena, el período de espera para desbloquear y la rapidez de respuesta de su gobernanza forman parte de la seguridad de tus activos.
Segunda: el coste también está claro: para salvar a algunos, se congela la liquidez de todos durante 7 días. Se sacrifica la comodidad de la mayoría para proteger el capital de una minoría. Puede compensar, pero no deja de tener un coste.
Tercera: lo más preocupante es la paradoja: la cadena puede congelar la billetera del hacker, pero también puede congelar la tuya. Para las cadenas públicas de RWA, es un requisito de cumplimiento normativo; para quienes tienen tokens, significa que «los tokens no te pertenecen del todo».
En adelante, para evaluar la capacidad de una cadena de reaccionar ante un incidente, fíjate en tres cosas:
¿Tiene herramientas de gobernanza para congelar direcciones?
¿Cuánto se tarda en congelarlas? ¿Hace falta una propuesta o un hard fork?
¿Se han utilizado estas herramientas antes? ¿Cuántas veces?
Y un dato aún más práctico: la ventana real de seguridad de los activos on-chain equivale a la duración del período de desbloqueo.
Cuanto más largo sea ese período, más difícil lo tendrá el hacker para escapar una vez que consiga robar los activos. Pero si eres tú quien quiere salir, también tendrás que esperar.
La seguridad y la liquidez siempre han sido las dos caras de la misma moneda.
¿Tienes tus MANTRA en staking?
¿Creaste la billetera con una frase semilla o iniciando sesión con Google o Apple con un solo clic?
#MANTRA因Keplr安全事件暂停解除质押7天
