MANTRA suspendió temporalmente las nuevas transacciones de desvinculación de tokens durante siete días en respuesta a un exploit en curso que involucra wallets de Web3Auth y Keplr, el cual permitió a atacantes acceder a las claves privadas de usuarios y desvincular sus fondos de MANTRA.

La suspensión abarca las nuevas solicitudes de desvinculación en toda la red, lo que significa que incluso los holders no afectados por el exploit no pueden comenzar a retirar su OM en staking mientras esté vigente. También cierra la misma ruta de unbonding que los atacantes utilizaban para mover saldos en staking obtenidos mediante claves robadas.

El proyecto informó el viernes 13 de noviembre que miembros de la comunidad habían reportado atacantes desvinculando sus tokens en staking sin consentimiento, tras robar sus fondos líquidos de MANTRA.

Según el equipo, varias wallets asociadas a los atacantes ya han sido congeladas mediante la Propuesta de Gobernanza 41, una medida de gobernanza on-chain, y MANTRA está trabajando con Web3Auth y Keplr en los esfuerzos de recuperación.

Antecedentes

MANTRA es una blockchain de capa 1 enfocada en la tokenización de activos del mundo real, y su token nativo es OM. La red está construida con el Cosmos SDK, el framework de desarrollo que sustenta muchas cadenas de proof-of-stake en el ecosistema Cosmos, donde los holders de tokens pueden hacer staking de sus activos para ayudar a asegurar la red y, posteriormente, enviar solicitudes de unbonding para retirar sus tokens en staking.

En las redes basadas en Cosmos SDK, el unbonding no es instantáneo: las solicitudes de desvinculación entran en un período de espera durante el cual los tokens permanecen bloqueados. Detener las nuevas solicitudes mantiene tokens adicionales en staking fuera de esa cola durante los siete días de la suspensión.

Keplr es una wallet de extensión de navegador muy utilizada para cadenas del ecosistema Cosmos, mientras que Web3Auth proporciona infraestructura de wallets integradas que permite a las aplicaciones incorporar usuarios mediante flujos de inicio de sesión simplificados y servicios de gestión de claves privadas. El incidente demuestra cómo un compromiso de claves privadas va más allá de los saldos líquidos: el control de una clave también implica el control de su posición en staking, y así fue como las claves robadas generaron solicitudes de desvinculación no autorizadas.

Qué sigue

MANTRA indicó que reevaluará la pausa temporal después de siete días y se reservó el derecho de imponer suspensiones adicionales según cómo evolucione la situación. Quienes siguen el incidente tienen tres hitos concretos a observar: la reevaluación de la pausa tras siete días, el avance del trabajo de recuperación con Web3Auth y Keplr, y si el equipo impone suspensiones adicionales bajo la autoridad que se reservó.

Fuentes: Crypto Briefing · CryptoNews