MANTRA Chain, une couche 1 en preuve d'enjeu spécialisée dans la tokenisation d'actifs du monde réel (RWA), est restée à l'arrêt le 21 août après que l'équipe a révélé qu'un attaquant avait exploité une vulnérabilité dans une dépendance amont. Le mainnet étant en pause, les transactions, les transferts et les opérations de staking sont tous indisponibles.

Le projet a identifié le logiciel vulnérable uniquement comme une dépendance amont. Selon son registre officiel des incidents, MANTRA trace les mouvements de fonds, travaille avec ses partenaires de plateformes d'échange et continue d'évaluer l'ampleur complète de l'incident.

Le registre détaille la séquence des événements : MANTRA a d'abord gelé les points de terminaison et les transactions tout en examinant la cause racine et l'impact. L'équipe a ensuite attribué cet arrêt préventif à un attaquant exploitant la dépendance amont, puis a annoncé une version corrigée accompagnée de tests sur testnet, le mainnet restant hors ligne tout au long de ces mises à jour.

Dans sa dernière mise à jour, le projet a déclaré que les fonds des utilisateurs n'avaient pas été affectés par l'arrêt lui-même et qu'un instantané complet de l'état du réseau avait été pris avant le début du processus de redémarrage. Cette assurance ne s'applique qu'à la mise en pause du réseau, qui empêche le traitement des transactions ; l'impact sur les actifs de l'activité de l'attaquant reste à confirmer.

Les tests du correctif conditionnent le redémarrage

MANTRA a indiqué que la version corrigée v8.4.0 corrige la vulnérabilité sous-jacente et qu'elle fait l'objet de tests et de vérifications sur le testnet DuKong. La version GitHub du projet confirme cette version et inclut un gestionnaire de mise à niveau du mainnet.

Les tests sur DuKong constituent l'étape préalable au déploiement du même logiciel sur le mainnet. MANTRA a déclaré privilégier un déploiement prudent et vérifié, et a demandé aux validateurs de maintenir leurs nœuds mainnet hors ligne jusqu'à l'annonce d'un redémarrage coordonné.

L'exigence de coordination empêche les opérateurs de nœuds individuels de rétablir le service du mainnet de manière indépendante. Les validateurs doivent attendre l'annonce de redémarrage de MANTRA afin que le réseau corrigé puisse revenir par l'ensemble élargi de validateurs, de façon collective. Ce modèle correspond à la manière dont les chaînes construites sur le Cosmos SDK, le cadre utilisé par MANTRA, gèrent habituellement les changements logiciels : l'ensemble des validateurs applique une mise à niveau à l'unisson plutôt que nœud par nœud, et le gestionnaire de mise à niveau mentionné dans la version est le mécanisme qui conditionne de telles transitions.

L'arrêt complet d'un réseau après un incident de sécurité est une réponse d'urgence établie, bien que radicale, dans le secteur, car un arrêt total bloque tout traitement des transactions pendant la préparation d'un correctif. BNB Chain a pris une mesure comparable en octobre 2022, suspendant son réseau après un exploit d'un pont inter-chaînes et ne reprenant la production de blocs qu'après que les validateurs se soient coordonnés autour du logiciel corrigé.

L'équipe visait un redémarrage plus tard dans la journée du 21 août, à condition que les tests se déroulent sans accroc. Le mainnet ne pourra revenir qu'une fois le correctif validé par les tests et l'ensemble élargi des validateurs prêt pour la mise à niveau coordonnée.

Pour les utilisateurs, cet arrêt signifie que l'activité ordinaire on-chain ne peut pas se poursuivre. Les actifs ne peuvent pas circuler sur MANTRA Chain, les opérations de staking sont indisponibles, et les dépôts et retraits du token restaient suspendus sur les plateformes concernées, selon les précédentes mises à jour sur l'incident. MANTRA a indiqué que les utilisateurs n'avaient aucune action à entreprendre tant que la chaîne restait hors ligne.

Une annonce de redémarrage mettrait fin au gel opérationnel immédiat, tandis que l'évaluation par MANTRA des mouvements de fonds et de l'impact complet de l'incident sur les actifs reste une question distincte à surveiller.

Source : CryptoNews