MANTRA Chain hat in dem vollständigen Incident-Post-Mortem-Bericht, den das Projekt am 28. August veröffentlichte, darauf verzichtet, sich auf einen Plan zur Rückführung der gestohlenen Mittel festzulegen. Stattdessen präsentierte die Veröffentlichung eine formelle Zusammenfassung des Vorfalls vom 20.–21. August, bei dem ein Angreifer rund 720,9 Millionen MANTRA im Wert von etwa 3,6 Millionen US-Dollar vom Projekt abzog.

Die Veröffentlichung ordnete dem eine Woche zurückliegenden Angriff erstmals offiziell einen Dollarwert zu; das Projekt besteht darauf, dass er durch einen Programmierfehler verursacht wurde, der nicht unmittelbar mit seinem eigenen Code zusammenhängt. MANTRA bestätigte, dass nun die Strafverfolgungsbehörden eingeschaltet sind und dass Updates zum Fortschritt der Rückführung der Mittel ausstehen. Das Projekt kündigte außerdem an, seine Angaben zur Umlaufmenge zu aktualisieren, sobald es ein klareres Bild von den in Hacker-Wallets gefangenen Token und den Rückführungschancen hat.

Was verursachte den MANTRA-Exploit?

Laut dem MANTRA-Chain-Post-Mortem begann der Exploit in dem gemeinsam genutzten cosmos/evm-Modul, das die Chain nutzt, um Ethereum-artige Verträge auf dem Cosmos SDK auszuführen.

Die betroffene Version prüfte nicht, ob ein Konto einen Aufruf decken konnte, bevor sie Abzüge vom Guthaben des Kontos genehmigte. Die Abzüge gingen weiter durch, weil der Code vorzeichenlose Ganzzahlen verwendete, die nicht unter null fallen können. Stattdessen lief der Wert einfach auf eine gewaltige Zahl über.

Diese Fehlerart, bekannt als Integer-Underflow oder Wraparound, ist eine seit langem bekannte Fehlerklasse in Blockchain-Code. Im Ethereum-Ökosystem ermöglichte 2018 ein ähnlicher arithmetischer Overflow im ERC-20-Vertrag des Beauty-Chain-Tokens (BEC) einem Angreifer, enorme Token-Guthaben zu erzeugen; solche Vorfälle waren eine wesentliche Motivation für die Checked Arithmetic, die Solidity 0.8+ standardmäßig aktiviert. Der Fall MANTRA zeigt, dass dieselbe Fehlerklasse auch in den brückenähnlichen Modulen auftreten kann, die Cosmos-SDK-Chains zur Interoperabilität mit Ethereum-artigen Verträgen nutzen.

MANTRA stellte klar, dass keine seiner Validatoren-Schlüssel, Governance-Kontrollen oder Multisig-Signierer kompromittiert wurden, und bestand darauf, dass der vom Angreifer ausgenutzte Fehler nicht aus dem eigenen Haus stammte. MANTRA schrieb: „The attacker required no privileged access“ („Der Angreifer benötigte keinen privilegierten Zugriff“), und stellte fest, dass ein ohne Berechtigung bereitgestellter Vertrag und eine selbst finanzierte Wallet ausreichten, um den Angriff auszuführen.

Wie viel verlor MANTRA?

Laut MANTRA entnahm der Angreifer etwa 600 Millionen MANTRA aus der Burn-Adresse des Projekts und weitere 120,9 Millionen Token aus einem inaktiven Multisig aus der Genesis-Ära, das mit einer alten Incentive-Kampagne verbunden war.

MANTRA betonte die technische Besonderheit der Auswirkungen des Angriffs und stellte klar, dass keine neuen Token gemintet wurden. Stattdessen brachte der Exploit rund 720,9 Millionen Token wieder in Umlauf, die außerhalb der Umlaufmenge lagen und als wirtschaftlich inaktiv galten.

Der Bericht deutete zudem den programmatischen Rhythmus der Token-Bewegungen an, da Transaktionen offenbar in festen Größen und kurzen Intervallen auszuführt schienen, statt manuell verarbeitet zu werden.

MANTRA verpasste die Transaktionen in Echtzeit

Nach eigenem Eingeständnis bemerkte das MANTRA-Team in den ersten vier Stunden der Sicherheitsverletzung keine der Schadtransaktionen. Das Projekt führte das Versäumnis auf das Fehlen einer rund um die Uhr laufenden Überwachung einer Burn-Adresse zurück, die eigentlich unbewegliche Token halten sollte. Diese Lücke ist in branchenweiten Post-Mortems vertraut: Burn-Adressen und Treasury-Wallets werden häufig als inaktiv behandelt und weniger genau überwacht als aktive Hot Wallets, obwohl sie oft zu den größten Guthaben eines Protokolls zählen.

In den Stunden, bevor das Team die Warnsignale bemerkte, führte der Angreifer zwei Transaktionen aus und verlagerte den Großteil der Beute Off-Chain, bevor die Validatoren das Netzwerk um 23:13 UTC anhielten – 14 Minuten nach dem zweiten Abzug. Die Wallet des Angreifers enthielt bei der Netzwerkunterbrechung noch 37,96 Millionen Token.

Das Netzwerk blieb 30 Stunden und 13 Minuten offline bis zum 22. August, 05:26 UTC, als die Validatoren einen koordinierten Neustart mit dem gepatchten v8.4.0-Release durchführten.

Der Vorfall krönt ein dramatisches Jahr für ein Projekt, das noch dabei ist, Vertrauen wieder aufzubauen. Der frühere OM-Token von MANTRA brach in einer einzigen Sitzung im April 2025 um mehr als 90 % ein und löschte über 5 Milliarden US-Dollar an Wert, wie Cryptopolitan damals berichtete. Sogar Inveniam Capital Partners, das 2025 20 Millionen US-Dollar in MANTRA investiert hatte, räumte frühere Probleme ein, als es sich im Juni zum Erwerb des Projekts bereit erklärte.

Als die Unterbrechung eintrat, fiel der Token um 18,5 % auf ein Rekordtief von nahezu 0,004126 US-Dollar, bevor er sich erholte, so die Daten von CoinGecko. Da nun die Strafverfolgungsbehörden eingeschaltet sind und die Rückführungsaussichten ungeklärt bleiben, lauten die offenen Fragen für MANTRA-Beobachter: das Schicksal der 37,96 Millionen Token, die bei der Netzwerkunterbrechung noch in der Wallet des Angreifers lagen, ob die von Inveniam getragene Geschäftsführung die Angaben zur Token-Umlaufmenge anpasst, und wie schnell die nächsten geplanten Modul-Updates des Projekts ausgeliefert werden.