Web3AuthおよびKeplrウォレットに関わる継続中のエクスプロイトにより攻撃者がユーザーの秘密鍵にアクセスし、ステーク済みMANTRA保有分をアンステーキングできる状態となったことを受け、MANTRAは新規トークンアンボンディング取引を7日間一時停止した。

この停止はネットワーク全体での新規アンステーキング申請に適用されるため、エクスプロイトの影響を受けていない保有者も、停止期間中はステーク済みOMの引き出しを開始できない。同時に、攻撃者が盗んだ鍵で取得したステーク残高を移動させるために利用していた同じアンボンディング経路も遮断される。

プロジェクトは11月13日(金)、流出したMANTRA保有分を盗まれた後、攻撃者が同意なくステーク済みトークンをアンボンディングしているとの報告がコミュニティメンバーから寄せられたと発表した。

チームによると、攻撃者に関連する複数のウォレットはすでに、オンチェーンガバナンス措置であるガバナンス提案41を通じて凍結されており、MANTRAはWeb3AuthとKeplrと連携して復旧作業を進めている。

背景

MANTRAは実体資産(RWA)のトークン化に注力するレイヤー1ブロックチェーンで、ネイティブトークンはOMである。ネットワークはCosmos SDKを用いて構築されており、これはCosmosエコシステムの多くのプルーフ・オブ・ステークチェーンを支える開発フレームワークで、トークン保有者は資産をステークしてネットワークのセキュリティ維持に貢献し、その後アンボンディング申請を提出してステーク済みトークンを引き出すことができる。

Cosmos SDKベースのネットワークでは、アンボンディングは即時には完了しない。アンステーキング申請は待機期間に入り、その間トークンはロックされたままとなる。新規申請を停止することで、7日間の停止期間中、追加のステーク済みトークンがこのキューに入るのを防いでいる。

KeplrはCosmosエコシステムのチェーン向けに広く利用されているブラウザ拡張ウォレットであり、Web3Authは簡略化されたログインフローと秘密鍵管理サービスを通じてアプリケーションがユーザーをオンボーディングできる組み込みウォレットインフラを提供している。今回のインシデントは、秘密鍵の漏洩が流動性残高を超えて影響を及ぼしうることを示している。鍵の掌握はそのステークポジションの掌握も意味し、まさにこの仕組みによって盗まれた鍵が不正なアンボンディング申請を生み出した。

今後の見通し

MANTRAは7日後に一時停止を再評価し、状況の展開に応じて追加の停止措置を講じる権利を留保している。このインシデントを注視する読者が確認すべき具体的なポイントは3つある。停止措置の7日後の再評価、Web3AuthおよびKeplrとの復旧作業の進捗、そしてチームが留保した権限に基づき追加の停止措置を実施するかどうかである。

出典: Crypto Briefing · CryptoNews