Trancado não significa seguro: hackers estão retirando as moedas MANTRA das vítimas do staking!
Em 13 de nov., a MANTRA suspendeu novas retiradas do staking por 7 dias. O período de espera que protege quem faz staking só funciona se for você quem solicita a retirada.
Fazer staking significa bloquear suas moedas para ajudar a operar uma blockchain. Para retirá-las, você solicita a retirada do staking e espera (8 dias na MANTRA).
Como chegamos a essa situação?
> A Keplr, uma carteira popular para moedas baseadas em Cosmos, permite criar uma conta com uma frase-semente, um dispositivo de hardware ou um login do Google ou da Apple.
> Com o login do Google ou da Apple, um serviço de terceiros chamado Web3Auth gera sua chave privada (a senha mestra das suas moedas), em vez de uma frase que você anotou.
> Em 6 de nov., uma falha na Web3Auth expôs algumas dessas chaves. O cofundador da Keplr diz que não foi um ataque ao código da Keplr e estima que cerca de 20% das contas com login do Google e da Apple foram afetadas.
> Segundo a MANTRA, os ladrões levaram primeiro as moedas não bloqueadas e, depois, começaram a retirar as moedas em staking. A MANTRA congelou as carteiras deles por meio de uma votação de governança e suspendeu novas retiradas do staking. A situação será reavaliada após 7 dias.
As retiradas do staking já em andamento não foram suspensas. Segundo a MANTRA, qualquer pessoa com uma retirada em andamento precisa refazer o staking (redelegar) antes do fim dos 8 dias, ou o ladrão poderá reivindicar as moedas.
Qual é a dimensão do problema? Ainda não se sabe ao certo. A Bitquery rastreou cerca de US$ 6 milhões saindo de mais de 44.000 carteiras, mas parte disso foi a Web3Auth resgatando moedas antes que os ladrões pudessem roubá-las. A GoPlus contabiliza pelo menos cerca de US$ 1 milhão roubado. Ainda não há um total final nem um plano de reembolso.
Verificação rápida, segundo as recomendações da Keplr:
- Contas com frase-semente e carteira de hardware não foram afetadas. As contas com login do Google ou da Apple foram.
- Se você usa login social: pare de depositar e transfira as moedas não bloqueadas para uma conta com frase-semente ou carteira de hardware.
- Ignore mensagens diretas e links que ofereçam “ajuda para recuperar” suas moedas. Confie apenas nas publicações oficiais da Keplr e da Web3Auth.
O que acompanhar? A análise da MANTRA, por volta de 20 de nov., UTC. A suspensão será retirada, prorrogada ou explicada?
Quem detém a chave controla a fechadura.
Como você criou sua carteira: frase-semente, hardware ou login social?
Relato de experiência, não é aconselhamento financeiro. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
Em 13 de nov., a MANTRA suspendeu novas retiradas do staking por 7 dias. O período de espera que protege quem faz staking só funciona se for você quem solicita a retirada.
Fazer staking significa bloquear suas moedas para ajudar a operar uma blockchain. Para retirá-las, você solicita a retirada do staking e espera (8 dias na MANTRA).
Como chegamos a essa situação?
> A Keplr, uma carteira popular para moedas baseadas em Cosmos, permite criar uma conta com uma frase-semente, um dispositivo de hardware ou um login do Google ou da Apple.
> Com o login do Google ou da Apple, um serviço de terceiros chamado Web3Auth gera sua chave privada (a senha mestra das suas moedas), em vez de uma frase que você anotou.
> Em 6 de nov., uma falha na Web3Auth expôs algumas dessas chaves. O cofundador da Keplr diz que não foi um ataque ao código da Keplr e estima que cerca de 20% das contas com login do Google e da Apple foram afetadas.
> Segundo a MANTRA, os ladrões levaram primeiro as moedas não bloqueadas e, depois, começaram a retirar as moedas em staking. A MANTRA congelou as carteiras deles por meio de uma votação de governança e suspendeu novas retiradas do staking. A situação será reavaliada após 7 dias.
As retiradas do staking já em andamento não foram suspensas. Segundo a MANTRA, qualquer pessoa com uma retirada em andamento precisa refazer o staking (redelegar) antes do fim dos 8 dias, ou o ladrão poderá reivindicar as moedas.
Qual é a dimensão do problema? Ainda não se sabe ao certo. A Bitquery rastreou cerca de US$ 6 milhões saindo de mais de 44.000 carteiras, mas parte disso foi a Web3Auth resgatando moedas antes que os ladrões pudessem roubá-las. A GoPlus contabiliza pelo menos cerca de US$ 1 milhão roubado. Ainda não há um total final nem um plano de reembolso.
Verificação rápida, segundo as recomendações da Keplr:
- Contas com frase-semente e carteira de hardware não foram afetadas. As contas com login do Google ou da Apple foram.
- Se você usa login social: pare de depositar e transfira as moedas não bloqueadas para uma conta com frase-semente ou carteira de hardware.
- Ignore mensagens diretas e links que ofereçam “ajuda para recuperar” suas moedas. Confie apenas nas publicações oficiais da Keplr e da Web3Auth.
O que acompanhar? A análise da MANTRA, por volta de 20 de nov., UTC. A suspensão será retirada, prorrogada ou explicada?
Quem detém a chave controla a fechadura.
Como você criou sua carteira: frase-semente, hardware ou login social?
Relato de experiência, não é aconselhamento financeiro. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
