MANTRA Chainが復旧、開発者らは説明なきコード変更への回答を求める

MANTRA Chainは、セキュリティインシデントによってチェーン全体の停止を余儀なくされてから6日後、v8.4.0でメインネットのブロック生成を復旧した。約束されていた技術的説明はいまだ公表されておらず、上流依存関係の悪用や、プロジェクト管理の2つのウォレット内での活動は説明されないままである。

公式のインシデント時系列によると、メインネットは8月22日05:30 UTC頃に再開された。チェーン側は、停止と再開の間にロールバックや状態の変更はなく、ユーザーの残高は変更されず、トークン保有者は対応を取る必要がなかったと述べている。

チームは8月24日にインシデントを解決済みとしたが、事後検証報告は数日中に公開されると再度述べた。8月27日時点で確認したところ、現在のステータスページにも公式発表チャンネルにも、同報告へのリンクは含まれていなかった。

MANTRAは、自社の分析で当該インシデントの影響はMANTRA管理の2つのウォレットに及んだものであり、ユーザー、取引所、パートナーの資金は影響を受けなかったと述べた。ただし、公表内容では、ウォレットアドレス、トランザクションハッシュ、金額、攻撃に用いられた技術的手順は特定されていない。

停止が最初に報告された8月21日時点では、パッチのテストはまだ進行中だった。ネットワークの復旧によりこの運用上の中断は解消されたが、攻撃者の手法とMANTRAによる封じ込め評価は未公表のままである。

ノード運用者にとって、公開コード記録は即座に実務上の問題を突きつける。すなわち、どのv8.4.0ビルドが稼働しているのかである。現在のリリースページは完全なコミット5c08d7bd9e2619952707dae1258d2a30bf024721を指しているが、MANTRAは、復旧中にタグが再プッシュされたため運用者は再取得すべきだと警告している。

こうしたバージョンレベルの明確さは、インシデント後の復旧では重要である。バリデータやインフラチームは通常、緊急再起動後に意図したビルドで稼働していることを確認するため、リリースタグやチェンジログに依拠するからだ。今回、リリースの記録は公開されているものの、コード変更の根拠は十分には文書化されていない。

リリースのチェンジログには、MANTRA EVMフォークをv0.6.0-v8-mantra-3からv0.6.0-v8-mantra-4へ更新する中間段階の変更が記載されている。最終タグのgo.modでは、この依存関係がチェーンのv0.6.2-v8-mantra-1フォークに置き換えられている。

最終アップグレードハンドラーは1つのアドレスをブロックリストに登録し、サーキットブレーカーを通じて3種のCosmosベスティングアカウント作成メッセージを無効化している。これらの変更は導入された緩和策を示すものであるが、攻撃経路そのものは未公表である。

なぜ3月のICS20脆弱性はMANTRAユーザーにとって依然仮説なのか

3月にCosmos Labsが公表した勧告は、ICS20プリコンパイルの重大な脆弱性を説明し、影響が確認されたチェーンは緩和またはアップグレード済みと述べ、Mantraを修復協力者の一人として名指しした。この勧告の時系列は3月の開示で終わっており、8月のインシデントはその記載範囲外にある。

このため、確認された事実と過去の脆弱性に関する言及を区別しようとする読者にとって、欠けている事後検証報告はとりわけ重要になる。公開記録には再開、タグ付きビルド、限定的な緩和策は示されているが、停止に至った経緯は示されていない。MANTRAが約束していた技術的説明を公表するまで、ユーザーは再開、正確な最終コード、表明された影響を検証できるものの、本インシデントを過去のいかなるバグと結びつけるために必要なウォレットアドレス、トランザクションハッシュ、金額、技術的説明は検証できない。

出典 | 関連報道