Заблокированные монеты — не значит защищённые: хакеры выводят из стейкинга монеты MANTRA жертв!
13 ноября MANTRA приостановила вывод монет из стейкинга на 7 дней. Период ожидания, который защищает стейкеров, работает, только если вывод инициируете вы.
Стейкинг — это блокировка монет, помогающая поддерживать работу блокчейна. Чтобы вернуть монеты, нужно вывести их из стейкинга и подождать (на MANTRA — 8 дней).
Как всё дошло до этого?
> Keplr — популярный кошелёк для монет на базе Cosmos — позволяет создать аккаунт с помощью сид-фразы, аппаратного устройства или входа через Google либо Apple.
> При входе через Google или Apple сторонний сервис Web3Auth создаёт ваш приватный ключ (главный пароль к вашим монетам), а не использует фразу, которую вы записали.
> 6 ноября уязвимость в Web3Auth раскрыла некоторые из этих ключей. Сооснователь Keplr утверждает, что взлома кода Keplr не было, и оценивает долю пострадавших аккаунтов, созданных через Google и Apple, примерно в 20%.
> По данным MANTRA, воры сначала забрали свободные монеты, а затем начали выводить из стейкинга заблокированные. MANTRA заморозила их кошельки по решению голосования сообщества и приостановила новый вывод из стейкинга. Через 7 дней ситуация будет пересмотрена.
Вывод монет из стейкинга, который уже начался, не приостановлен. По данным MANTRA, всем, кто уже инициировал вывод, нужно повторно застейкать монеты (делегировать их заново) до истечения 8 дней — иначе их сможет забрать вор.
Насколько велик ущерб? Точной оценки пока нет. Bitquery отследила вывод примерно $6M из более чем 44 000 кошельков, но часть монет успела спасти Web3Auth до того, как их забрали воры. По подсчётам GoPlus, украдено как минимум около $1M. Окончательной суммы и плана возмещения пока нет.
Что проверить — согласно рекомендациям Keplr:
- Аккаунты с сид-фразой и аппаратные кошельки не пострадали. Аккаунты, созданные через вход Google или Apple, пострадали.
- Если вы входите через соцсеть: прекратите пополнять кошелёк и переведите свободные монеты на аккаунт с сид-фразой или аппаратный кошелёк.
- Игнорируйте личные сообщения и ссылки с предложениями «помочь вернуть средства». Доверяйте только официальным публикациям Keplr и Web3Auth.
За чем следить? За результатами проверки MANTRA, которая ожидается примерно 20 ноября по UTC. Приостановку снимут, продлят или объяснят?
У кого ключ — у того и контроль над замком.
Как создан ваш кошелёк: с помощью сид-фразы, аппаратного устройства или входа через соцсеть?
Это личный опыт, а не финансовая рекомендация. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
13 ноября MANTRA приостановила вывод монет из стейкинга на 7 дней. Период ожидания, который защищает стейкеров, работает, только если вывод инициируете вы.
Стейкинг — это блокировка монет, помогающая поддерживать работу блокчейна. Чтобы вернуть монеты, нужно вывести их из стейкинга и подождать (на MANTRA — 8 дней).
Как всё дошло до этого?
> Keplr — популярный кошелёк для монет на базе Cosmos — позволяет создать аккаунт с помощью сид-фразы, аппаратного устройства или входа через Google либо Apple.
> При входе через Google или Apple сторонний сервис Web3Auth создаёт ваш приватный ключ (главный пароль к вашим монетам), а не использует фразу, которую вы записали.
> 6 ноября уязвимость в Web3Auth раскрыла некоторые из этих ключей. Сооснователь Keplr утверждает, что взлома кода Keplr не было, и оценивает долю пострадавших аккаунтов, созданных через Google и Apple, примерно в 20%.
> По данным MANTRA, воры сначала забрали свободные монеты, а затем начали выводить из стейкинга заблокированные. MANTRA заморозила их кошельки по решению голосования сообщества и приостановила новый вывод из стейкинга. Через 7 дней ситуация будет пересмотрена.
Вывод монет из стейкинга, который уже начался, не приостановлен. По данным MANTRA, всем, кто уже инициировал вывод, нужно повторно застейкать монеты (делегировать их заново) до истечения 8 дней — иначе их сможет забрать вор.
Насколько велик ущерб? Точной оценки пока нет. Bitquery отследила вывод примерно $6M из более чем 44 000 кошельков, но часть монет успела спасти Web3Auth до того, как их забрали воры. По подсчётам GoPlus, украдено как минимум около $1M. Окончательной суммы и плана возмещения пока нет.
Что проверить — согласно рекомендациям Keplr:
- Аккаунты с сид-фразой и аппаратные кошельки не пострадали. Аккаунты, созданные через вход Google или Apple, пострадали.
- Если вы входите через соцсеть: прекратите пополнять кошелёк и переведите свободные монеты на аккаунт с сид-фразой или аппаратный кошелёк.
- Игнорируйте личные сообщения и ссылки с предложениями «помочь вернуть средства». Доверяйте только официальным публикациям Keplr и Web3Auth.
За чем следить? За результатами проверки MANTRA, которая ожидается примерно 20 ноября по UTC. Приостановку снимут, продлят или объяснят?
У кого ключ — у того и контроль над замком.
Как создан ваш кошелёк: с помощью сид-фразы, аппаратного устройства или входа через соцсеть?
Это личный опыт, а не финансовая рекомендация. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
