MANTRA a temporairement suspendu les nouvelles transactions de déblocage (unbonding) de jetons pendant sept jours en réponse à un exploit en cours impliquant les portefeuilles Web3Auth et Keplr, qui a permis à des attaquants d'accéder aux clés privées des utilisateurs et de retirer leurs jetons MANTRA en staking.

La suspension couvre les nouvelles demandes de retrait de staking sur l'ensemble du réseau, ce qui signifie que même les détenteurs non touchés par l'exploit ne peuvent pas commencer à retirer leur OM en staking tant qu'elle est en vigueur. Elle ferme également la même voie de déblocage que celle utilisée par les attaquants pour déplacer des soldes en staking obtenus grâce à des clés volées.

Le projet a indiqué vendredi 13 novembre que des membres de la communauté avaient signalé que des attaquants débloquaient leurs jetons en staking sans consentement après avoir volé leurs avoirs liquides en MANTRA.

Selon l'équipe, plusieurs portefeuilles associés aux attaquants ont déjà été gelés via la proposition de gouvernance 41, une mesure de gouvernance on-chain, et MANTRA collabore avec Web3Auth et Keplr sur les efforts de récupération.

Contexte

MANTRA est une blockchain de couche 1 axée sur la tokenisation d'actifs réels, et son jeton natif est l'OM. Le réseau est construit avec le Cosmos SDK, le framework de développement qui sous-tend de nombreuses chaînes à preuve d'enjeu de l'écosystème Cosmos, où les détenteurs de jetons peuvent mettre des actifs en staking pour contribuer à sécuriser le réseau, puis soumettre des demandes de déblocage pour retirer leurs jetons mis en staking.

Dans les réseaux basés sur Cosmos SDK, le déblocage n'est pas instantané : les demandes de retrait de staking entrent dans une période d'attente pendant laquelle les jetons restent verrouillés. L'arrêt des nouvelles demandes empêche des jetons supplémentaires en staking d'entrer dans cette file d'attente pendant toute la durée de la suspension de sept jours.

Keplr est un portefeuille d'extension de navigateur largement utilisé pour les chaînes de l'écosystème Cosmos, tandis que Web3Auth fournit une infrastructure de portefeuille intégrée permettant aux applications d'intégrer les utilisateurs via des flux de connexion simplifiés et des services de gestion de clés privées. L'incident montre comment une compromission de clé privée s'étend au-delà des avoirs liquides : le contrôle d'une clé signifie également le contrôle de sa position en staking, ce qui explique comment les clés volées ont généré des demandes de déblocage non autorisées.

Et maintenant ?

MANTRA a déclaré qu'elle réévaluerait la suspension temporaire après sept jours et s'est réserve le droit d'imposer des suspensions supplémentaires selon l'évolution de la situation. Les lecteurs qui suivent l'incident disposent de trois repères concrets à surveiller : la réévaluation de la suspension après sept jours, l'avancement des travaux de récupération avec Web3Auth et Keplr, et l'éventuelle imposition de suspensions supplémentaires dans le cadre du droit que le projet s'est réservé.

Sources : Crypto Briefing · CryptoNews