MANTRA Chain vuelve a estar en línea mientras los desarrolladores buscan respuestas sobre cambios silenciosos en el código

MANTRA Chain ha restaurado la producción de bloques de la mainnet en v8.4.0, seis días después de que un incidente de seguridad forzara una detención de toda la cadena. El informe técnico prometido aún no se ha publicado, lo que deja sin explicación la explotación de la dependencia upstream y la actividad dentro de dos billeteras gestionadas por el proyecto.

Según el cronograma oficial del incidente, la mainnet se reanudó aproximadamente a las 05:30 UTC del 22 de agosto. La cadena afirmó que no hubo reversión ni cambio de estado entre la detención y el reinicio, que los saldos de los usuarios no fueron alterados y que los tenedores de tokens no necesitaban tomar ninguna medida.

El equipo marcó el incidente como resuelto el 24 de agosto, pero volvió a indicar que un análisis post-mortem se publicaría en los próximos días. Cuando se verificó el 27 de agosto, ni la página de estado actual ni el canal oficial de anuncios contenían un enlace a ese informe.

MANTRA afirmó que su análisis determinó que el incidente afectó a dos billeteras gestionadas por MANTRA y que no se vieron afectados fondos de usuarios, exchanges o socios. Sin embargo, el informe público no identifica las direcciones de las billeteras, los hashes de las transacciones, los montos ni los pasos técnicos utilizados en el exploit.

Cuando se reportó la detención por primera vez el 21 de agosto, las pruebas del parche aún estaban en curso. El regreso de la red resuelve la interrupción operativa, pero el método del atacante y la evaluación de contención de MANTRA siguen sin divulgarse.

Para los operadores de nodos, el registro público de código plantea una pregunta práctica inmediata: qué compilación de v8.4.0 está en ejecución. La página de lanzamiento actual apunta al commit completo 5c08d7bd9e2619952707dae1258d2a30bf024721, mientras que MANTRA advierte que la etiqueta fue reinsertada durante la recuperación y pide a los operadores que vuelvan a descargarla.

Ese tipo de claridad a nivel de versión es importante en las recuperaciones posteriores a un incidente, porque los validadores y los equipos de infraestructura suelen depender de las etiquetas de lanzamiento y de los registros de cambios para confirmar que están en la compilación prevista tras un reinicio de emergencia. En este caso, el historial de lanzamientos es público, pero el fundamento de los cambios de código no está completamente documentado.

El registro de cambios del lanzamiento menciona una actualización intermedia del fork de MANTRA EVM de v0.6.0-v8-mantra-3 a v0.6.0-v8-mantra-4. El go.mod etiquetado final reemplaza esa dependencia por el fork v0.6.2-v8-mantra-1 de la cadena.

El controlador de actualización final bloquea una dirección en la lista de bloqueo y deshabilita tres mensajes de creación de cuentas de vesting de Cosmos mediante el interruptor de circuito. Estos cambios describen la mitigación implementada, mientras que la propia ruta del ataque sigue sin divulgarse.

Por qué la falla de ICS20 de marzo sigue siendo solo una teoría para los usuarios de MANTRA

Un aviso de Cosmos Labs de marzo describió una falla crítica en el precompilador de ICS20, señaló que las cadenas afectadas conocidas habían mitigado o actualizado, y mencionó a Mantra entre los colaboradores de la remediación. Su cronograma termina con la divulgación de marzo, lo que deja el incidente de agosto fuera de su alcance documentado.

Esto hace que el análisis post-mortem faltante sea especialmente importante para los lectores que intentan separar los hechos confirmados de las referencias a vulnerabilidades anteriores: el registro público muestra un reinicio, una compilación etiquetada y un conjunto limitado de mitigaciones, pero no la cadena de eventos que condujo a la detención. Hasta que MANTRA publique el informe técnico prometido, los usuarios podrán verificar el reinicio, el código final exacto y el impacto declarado, pero no las direcciones de las billeteras, los hashes de las transacciones, los montos ni la explicación técnica necesaria para conectar este incidente con cualquier error anterior.

Fuente | Cobertura relacionada