実世界資産(RWA)のトークン化に特化したプルーフ・オブ・ステーク型レイヤー1であるMANTRA Chainは、攻撃者が上流依存関係の脆弱性を悪用したとチームが明かした後、8月21日も停止状態が続いている。メインネットが一時停止中のため、トランザクション、送金、ステーキングの操作はいずれも利用できない。

プロジェクトは、脆弱性が存在したソフトウェアを「上流依存関係」とのみ特定している。公式のインシデント記録によれば、MANTRAは資金の移動を追跡し、取引所パートナーと協力しながら、インシデントの全体規模の評価を続けている。

同記録は一連の経緯を示している。MANTRAはまず、根本原因と影響を確認する間、エンドポイントとトランザクションを凍結した。その後、この予防的な停止は上流依存関係を悪用した攻撃者によるものだと説明し、修正済みリリースとテストネットでのテストを発表したが、こうした更新の間もメインネットはオフラインのままだった。

最新の更新情報の中でプロジェクトは、停止そのものによってユーザー資金が影響を受けたわけではなく、再開プロセスの開始前にネットワーク状態の完全なスナップショットが取得されたと述べた。この保証が対象とするのはネットワークの一時停止のみであり、同停止によりトランザクションの処理は妨げられている。攻撃者の活動による資産への影響は依然として確認されていない。

パッチテストが再開の条件を握る

MANTRAによれば、修正済みリリースv8.4.0は根本的な脆弱性に対処するものであり、DuKongテストネットでテストとデューデリジェンスが進められている。プロジェクトのGitHubリリースはこのバージョンを裏付けており、メインネット用のアップグレードハンドラーが含まれている。

DuKongでのテストは、同じソフトウェアをメインネットへ展開する前の関門となっている。MANTRAは、慎重かつ検証済みの展開を優先しており、協調的な再起動を発表するまでバリデーターに対しメインネットのノードをオフラインのまま保つよう指示したという。

この協調要件により、個々のノード運用者が単独でメインネットのサービスを復旧することはできない。バリデーターはMANTRAの再起動発表を待つ必要があり、それによって修正済みネットワークがより広範なバリデーターセットとともに一斉に復帰することになる。このモデルは、MANTRAが利用するフレームワークであるCosmos SDKを基盤とするチェーンがソフトウェア変更を通常処理する方法と一致している。バリデーターセットはノード単位ではなく一斉にアップグレードを適用し、リリースで言及されたアップグレードハンドラーがそうした移行の関門となる仕組みである。

セキュリティインシデント後にネットワークを完全停止させることは、修正が準備される間にすべてのトランザクション処理を遮断できる、確立されたとはいえ荒削りな緊急対応として、この業界で知られている。BNB Chainは2022年10月、クロスチェーンブリッジのエクスプロイトを受けた後でネットワークを停止し、バリデーターが修正済みソフトウェアをめぐって協調体制を整えた後にのみブロック生成を再開したという同様の措置を取っている。

チームは、テストが問題なく完了することを条件に、8月21日遅くに再起動を目標としていた。メインネットが復帰できるのは、パッチがテストを通過し、より広範なバリデーターセットが協調アップグレードの準備を整えた後のみである。

ユーザーにとってこの停止は、通常のオンチェーン活動が行えないことを意味する。MANTRA Chain上では資産を移動できず、ステーキング操作も利用できない。また、以前のインシデント更新情報によれば、影響を受けた取引所では当該トークンの入出金が停止されたままだ。MANTRAは、チェーンがオフラインの間、ユーザーが取るべき行動はないと述べた。

再起動の発表があれば当面の運用凍結は解消されるものの、MANTRAによる資金移動の評価と、インシデントによる資産への影響の全容把握は、注視すべき別の課題として残る。

出典:CryptoNews