MANTRA Chain в полном отчете о разборе инцидента, опубликованном 28 августа, не стала прямо обещать план восстановления средств. Вместо этого публикация представила формальную сводку инцидента от 20–21 августа, во время которого атакующий вывел из системы примерно 720,9 млн MANTRA — это стоило проекту около 3,6 млн долларов.
Сегодняшнее раскрытие информации официально присвоило денежную оценку атаке, которой было всего неделю, — проект настаивает, что она произошла из‑за ошибки в коде, не связанной напрямую с его собственным кодом.
Тем временем MANTRA подтвердила, что к делу теперь подключены правоохранительные органы, а обновления ожидаются: ведутся усилия по взысканию средств. Также компания заявила, что обновит свой обращающийся объем предложения, как только получит более четкую картину того, какие токены оказались на кошельках хакеров, и возможного восстановления.
Что стало причиной эксплойта MANTRA?
Согласно постмортему MANTRA Chain, эксплойт начался в общем модуле cosmos/evm, который используется для запуска контрактов в стиле Ethereum поверх Cosmos SDK.
Затронутая версия не проверяла, что учетная запись может покрыть вызов, прежде чем она одобрит списания со баланса учетной записи. Списания продолжали проходить, потому что код использовал беззнаковые целые числа, которые не могут опускаться ниже нуля. Вместо этого они просто «оборачивались» до огромного значения.
MANTRA уточнила, что ни один из ее ключей валидаторов, средства управления или подписанты мультиподписи не были взломаны. Проект также настаивал, что программная ошибка, которой воспользовался атакующий, не исходила от него самого.
MANTRA написала, что «атакующему не требовался какой-либо привилегированный доступ», поскольку у него было достаточно возможностей выполнить задачу с помощью контракта, развернутого без разрешений, и самофинансируемого кошелька.
Сколько MANTRA потеряла?
Согласно данным MANTRA, атакующий извлек примерно 600 миллионов токенов MANTRA и еще 120,9 миллиона токенов из соответствующего адреса для сжигания и бездействующего мультисигна, относящегося к эпохе генезиса и связанному со старой кампанией стимулирования — соответственно.
MANTRA уточнила техническую сторону последствий атаки и заявила, что новые токены не чеканились. Вместо этого эксплойт выпустил примерно 720,9 миллиона токенов, которые находились за пределами обращающегося предложения и считались экономически инертными, в обращение.
В отчете также намекалось на программный ритм движения токенов: транзакции, судя по всему, проходили фиксированными объемами с короткими интервалами, а не обрабатывались вручную.
MANTRA пропустила транзакции в реальном времени
По собственному признанию команды MANTRA, они не обнаружили никаких подозрительных транзакций в первые четыре часа после начала взлома. MANTRA объяснила эту неряшливость отсутствием круглосуточного мониторинга адреса для сжигания, предназначенного для хранения токенов, которые, как предполагалось, нельзя было сделать двигаемыми.
В часы до того, как команда заметила тревожные признаки, атакующий провел две транзакции и вывел большую часть своих средств off-chain, прежде чем валидаторы остановили сеть в 23:13 UTC — через 14 минут после второго «слива».
На момент остановки цепочки в кошельке атакующего по-прежнему находилось 37,96 миллиона токенов.
Сеть оставалась отключенной в течение 30 часов и 13 минут до 05:26 UTC 22 августа после того, как валидаторы согласовали перезапуск на исправленном релизе v8.4.0.
MANTRA могла бы обойтись без этого последнего эпизода, чтобы завершить драматические 18 месяцев для проекта, который все еще пытается восстановить доверие. Бывший токен OM от MANTRA обвалился более чем на 90% за одну сессию апреля 2025 года, обнулив свыше $5 млрд в стоимости — как сообщал Cryptopolitan на тот момент.
Даже Inveniam Capital Partners, вложивший $20 млн в MANTRA в 2025 году, признал прошлые проблемы, когда в июне согласился приобрести проект.
Когда остановка впервые началась, токен обвалился на 18,5% до рекордно низкого уровня около $0,004126, а затем восстановился — по данным CoinGecko.
Не просто читайте новости о криптовалюте. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.