MANTRA ha temporaneamente sospeso per sette giorni le nuove transazioni di unbonding dei token in risposta a un exploit in corso che coinvolge i wallet Web3Auth e Keplr, che ha permesso agli attaccanti di accedere alle chiavi private degli utenti e di effettuare l'unstaking delle loro disponibilità MANTRA.

La sospensione copre tutte le nuove richieste di unstaking a livello di rete: ciò significa che, mentre è in vigore, nemmeno i possessori non coinvolti nell'exploit possono iniziare a prelevare gli OM in stake. Chiude inoltre lo stesso percorso di unbonding utilizzato dagli attaccanti per spostare i saldi in stake ottenuti tramite chiavi rubate.

Il progetto ha dichiarato venerdì 13 novembre che alcuni membri della comunità avevano segnalato attaccanti che procedevano all'unstaking dei token in stake senza consenso, dopo aver rubato le loro disponibilità liquide MANTRA.

Secondo il team, diversi wallet associati agli attaccanti sono già stati congelati attraverso la Governance Proposal 41, una misura di governance on-chain, e MANTRA sta collaborando con Web3Auth e Keplr per il recupero dei fondi.

Contesto

MANTRA è una blockchain di layer-1 focalizzata sulla tokenizzazione di attività del mondo reale, e il suo token nativo è OM. La rete è costruita con il Cosmos SDK, il framework di sviluppo alla base di molte catene proof-of-stake dell'ecosistema Cosmos, in cui i possessori di token possono mettere in stake gli asset per contribuire alla sicurezza della rete e successivamente presentare richieste di unbonding per prelevare i token in stake.

Nelle reti basate su Cosmos SDK, l'unbonding non è istantaneo: le richieste di unstaking entrano in un periodo di attesa durante il quale i token restano bloccati. L'interruzione delle nuove richieste tiene ulteriori token in stake fuori da quella coda per tutta la durata della sospensione di sette giorni.

Keplr è un wallet sotto forma di estensione browser ampiamente utilizzato per le catene dell'ecosistema Cosmos, mentre Web3Auth fornisce un'infrastruttura di wallet integrata che consente alle applicazioni di onboardare gli utenti attraverso flussi di accesso semplificati e servizi di gestione delle chiavi private. L'incidente dimostra come il compromesso di una chiave privata vada oltre i saldi liquidi: il controllo di una chiave significa anche il controllo della posizione in stake ad essa associata, ed è così che le chiavi rubate hanno generato richieste di unbonding non autorizzate.

Prossimi Passi

MANTRA ha dichiarato che rivaluterà la pausa temporanea dopo sette giorni e si è riservata il diritto di imporre ulteriori sospensioni a seconda di come evolves la situazione. Chi segue l'incidente ha tre punti concreti da monitorare: la rivalutazione della pausa dopo sette giorni, l'avanzamento del lavoro di recupero con Web3Auth e Keplr, e se il team imporrà ulteriori sospensioni nell'ambito dell'autorità che si è riservata.

Fonti: Crypto Briefing · CryptoNews