MANTRA Chain, una Layer 1 proof-of-stake dedicata alla tokenizzazione di asset del mondo reale (RWA), è rimasta ferma il 21 agosto dopo che il team ha rivelato che un attaccante aveva sfruttato una vulnerabilità in una dipendenza upstream. Con la mainnet in pausa, transazioni, trasferimenti e operazioni di staking non sono disponibili.

Il progetto ha identificato il software vulnerabile solo come una dipendenza upstream. Secondo il suo rapporto ufficiale sull'incidente, MANTRA sta tracciando i movimenti dei fondi, collaborando con i partner di exchange e continuando a valutare la portata completa dell'incidente.

Il rapporto descrive la sequenza degli eventi: MANTRA ha inizialmente bloccato endpoint e transazioni mentre esaminava la causa principale e l'impatto. In seguito il team ha attribuito la fermata precauzionale a un attaccante che sfruttava la dipendenza upstream, per poi annunciare una release corretta insieme ai test sulla testnet, con la mainnet rimasta offline durante tutti questi aggiornamenti.

Nel suo ultimo aggiornamento, il progetto ha dichiarato che i fondi degli utenti non sono stati danneggiati dalla fermata in sé e che uno snapshot completo dello stato della rete è stato effettuato prima dell'inizio del processo di riavvio. Tale rassicurazione si applica solo alla pausa della rete, che impedisce l'elaborazione delle transazioni; l'impatto sugli asset dell'attività dell'attaccante resta da confermare.

Il test della patch determina il riavvio

MANTRA ha comunicato che la release corretta v8.4.0 risolve la vulnerabilità sottostante e sta affrontando test e verifiche di due diligence sulla testnet DuKong. La release su GitHub del progetto conferma la versione e include un upgrade handler per la mainnet.

I test su DuKong rappresentano il passaggio obbligato prima che lo stesso software venga distribuito sulla mainnet. MANTRA ha dichiarato di dare priorità a un rilascio accurato e verificato e ha chiesto ai validatori di mantenere i propri nodi mainnet offline fino all'annuncio di un riavvio coordinato.

Il requisito di coordinamento impedisce ai singoli operatori di nodo di ripristinare autonomamente il servizio della mainnet. I validatori devono attendere l'annuncio di riavvio di MANTRA affinché la rete corretta possa tornare attraverso l'insieme più ampio di validatori. Questo modello corrisponde al modo in cui le blockchain basate su Cosmos SDK, il framework utilizzato da MANTRA, gestiscono di norma le modifiche software: l'insieme dei validatori applica un upgrade all'unisono anziché nodo per nodo, e l'upgrade handler citato nella release è il meccanismo che regola tali transizioni.

Fermare completamente una rete dopo un incidente di sicurezza è una risposta d'emergenza consolidata nel settore, per quanto drastica, dato che uno stop totale blocca l'elaborazione di tutte le transazioni mentre viene preparata una correzione. BNB Chain ha adottato un provvedimento analogo nell'ottobre 2022, sospendendo la propria rete dopo un exploit a un bridge cross-chain e riprendendo la produzione di blocchi solo dopo che i validatori si sono coordinati sul software corretto.

Il team puntava a un riavvio più tardi il 21 agosto, a condizione che i test si concludessero senza problemi. La mainnet potrà tornare operativa solo dopo che la patch avrà superato i test e l'insieme più ampio di validatori sarà pronto per l'upgrade coordinato.

Per gli utenti, la fermata significa che la normale attività on-chain non può proseguire. Gli asset non possono muoversi su MANTRA Chain, le operazioni di staking non sono disponibili e depositi e prelievi del token sono rimasti sospesi sulle piattaforme interessate, secondo i precedenti aggiornamenti sull'incidente. MANTRA ha precisato che gli utenti non dovevano compiere alcuna azione mentre la blockchain restava offline.

Un annuncio di riavvio risolverebbe il blocco operativo immediato, mentre la valutazione di MANTRA sui movimenti dei fondi e sull'impatto completo dell'incidente sugli asset resta una questione separata da monitorare.

Fonte: CryptoNews