MANTRA ferma la blockchain dopo un exploit mentre il token scende al minimo storico

MANTRA, una blockchain layer-1 basata su Ethereum Virtual Machine concepita per gli asset del mondo reale come fondi e obbligazioni, ha arrestato la propria rete in seguito a un exploit software, poco dopo che il token del progetto è crollato del 18.5% fino a un minimo storico e la produzione di blocchi si è interrotta.

Chain congelata mentre il team indaga

Il token è sceso da $0.005060 fino al minimo storico di $0.004126 intorno alle 23:10 UTC di giovedì, secondo CoinGecko. In seguito è risalito a circa $0.0044, rimanendo però in calo di circa il 10% sulle 24 ore, mentre il volume degli scambi è balzato di quasi il 600% a 24 milioni di dollari.

La rete ha prodotto l'ultimo blocco registrato intorno alle 23:13 UTC, pochi minuti dopo che il token aveva toccato il proprio minimo. Circa mezz'ora dopo, MANTRA ha annunciato lo stop, comunicando che tutti gli endpoint e le transazioni erano stati congelati a titolo precauzionale durante le indagini. L'interruzione riguarda gli endpoint pubblici della chain, i validatori, le operazioni dei bridge e i collegamenti gestiti da MANTRA utilizzati per comunicare con altre blockchain. Congelare una rete durante un incidente è insolito ma non senza precedenti: BNB Chain si era temporaneamente sospesa nell'ottobre 2022 dopo che un exploit aveva coniato circa 570 milioni di dollari in BNB, e uno stop coordinato rimane una delle poche leve di emergenza disponibili per gli operatori blockchain quando un attacco è in corso.

Sfruttata una dipendenza upstream

Un aggiornamento successivo ha indicato che un attaccante aveva sfruttato una vulnerabilità in una "dipendenza upstream" — un software utilizzato da MANTRA Chain ma sviluppato al di fuori della rete stessa. "Abbiamo identificato la vulnerabilità e stiamo procedendo alla preparazione di una release correttiva", ha dichiarato il team. Il codice di terze parti è già stato in passato un vettore d'attacco nel settore crypto: a dicembre 2024, versioni malevole di una libreria JavaScript per Solana ampiamente utilizzata sono state pubblicate tramite un account di sviluppo compromesso, svuotando i wallet che vi avevano interagito.

I validatori di MANTRA restano offline mentre gli sviluppatori preparano e testano la correzione, e il riavvio della blockchain richiederà il coordinamento con il gruppo più ampio di operatori che verificano le transazioni. MANTRA Chain è costruita con il Cosmos SDK, il framework alla base di molte reti proof-of-stake, quindi nessuna singola parte può semplicemente riattivare la chain: la ripresa della produzione di blocchi richiede l'accordo dell'intero set di validatori. Il progetto sta inoltre tracciando i movimenti di fondi e collaborando con gli exchange nel valutare i danni, ma non ha rivelato quale software sia stato sfruttato, come funzionasse l'attacco o se siano andati perduti degli asset.

"La nostra valutazione dell'impatto complessivo è ancora in corso e non siamo ancora in grado di confermarne l'entità completa", ha dichiarato MANTRA.

Un periodo difficile per MANTRA

L'incidente segue un periodo difficile per il progetto e accresce le pressioni su un settore che continua a faticare a scrollarsi di dosso le preoccupazioni legate alla sicurezza, mentre le istituzioni valutano la tokenizzazione degli asset del mondo reale. I più grandi gestori di asset sono già entrati in quel mercato: BlackRock ha emesso un fondo monetario tokenizzato su blockchain pubbliche e Franklin Templeton gestisce un fondo monetario di titoli di Stato on-chain. L'ex token di MANTRA, OM, era crollato di oltre il 90% nell'aprile 2025 in un sell-off anomalo, cancellando più di 5 miliardi di dollari di valore di mercato. Inveniam Capital Partners, che lo scorso anno ha investito 20 milioni di dollari in MANTRA, a giugno ha dichiarato di voler acquisire il progetto, con la chiusura dell'operazione attesa nel terzo trimestre. Con quell'acquisizione in attesa di completamento, le tappe immediate sono quelle che il team si è prefissato: rilasciare e testare la versione corretta, coordinare il riavvio dei validatori, tracciare i movimenti di fondi e completare la valutazione d'impatto ancora in corso.

Fonte: Blockchain Reporter