MANTRA Chain, blockchain Layer 1 oparty na mechanizmie proof-of-stake, koncentrujący się na tokenizacji aktywów świata rzeczywistego (RWA), pozostawał zatrzymany 21 sierpnia po tym, jak zespół ujawnił, że atakujący wykorzystał lukę w zależności upstream. W związku z wstrzymaniem mainnetu transakcje, transfery i operacje stakingowe są niedostępne.

Projekt zidentyfikował podatne oprogramowanie jedynie jako zależność upstream. Zgodnie z oficjalnym rejestrem incydentu MANTRA śledzi przepływ środków, współpracuje z partnerami giełdowymi i nadal ocenia pełny zakres incydentu.

Rejestr przedstawia sekwencję wydarzeń: MANTRA najpierw zamroziło punkty końcowe i transakcje podczas analizy przyczyny źródłowej oraz skutków. Później zespół przypisał ostrożnościowe wstrzymanie atakującemu wykorzystującemu zależność upstream, a następnie ogłosił poprawioną wersję wraz z testami w testnecie, przy czym mainnet pozostawał offline przez cały czas trwania tych aktualizacji.

W najnowszej aktualizacji projekt oświadczył, że środki użytkowników nie zostały dotknięte przez samo wstrzymanie oraz że pełny snapshot stanu sieci został wykonany przed rozpoczęciem procesu restartu. To zapewnienie dotyczy wyłącznie pauzy sieci, która uniemożliwia przetwarzanie transakcji; wpływ działań atakującego na aktywa pozostaje niepotwierdzony.

Testy poprawki warunkują restart

MANTRA oświadczyło, że poprawiona wersja v8.4.0 usuwa podstawową lukę i przechodzi testy oraz due diligence w testnecie DuKong. Wydanie w repozytorium GitHub projektu potwierdza tę wersję i zawiera handler aktualizacji mainnetu.

Testy w DuKong stanowią bramkę przed wdrożeniem tego samego oprogramowania na mainnet. MANTRA oświadczyło, że priorytetem jest ostrożne, zweryfikowane wdrożenie, i nakazało walidatorom utrzymywanie węzłów mainnetu w trybie offline do czasu ogłoszenia skoordynowanego restartu.

Wymóg koordynacji uniemożliwia pojedynczym operatorom węzłów niezależne przywrócenie usług mainnetu. Walidatorzy muszą czekać na ogłoszenie restartu przez MANTRA, aby poprawiona sieć mogła powrócić jednocześnie za pośrednictwem szerszego zestawu walidatorów. Ten model odpowiada temu, jak blockchaini zbudowane na Cosmos SDK — frameworku wykorzystywanym przez MANTRA — zazwyczaj obsługują zmiany oprogramowania: zestaw walidatorów wprowadza aktualizację wspólnie, a nie węzeł po węźle, a handler aktualizacji wymieniony w wydaniu to mechanizm warunkujący takie przejścia.

Całkowite zatrzymanie sieci po incydencie bezpieczeństwa to w branży uznana, choć radykalna, odpowiedź awaryjna, ponieważ pełny stop blokuje całe przetwarzanie transakcji podczas przygotowywania poprawki. BNB Chain podjął porównywalny krok w październiku 2022 roku, zawieszając swoją sieć po exploicie na moście cross-chain i wznawiając produkcję bloków dopiero po skoordynowaniu walidatorów wokół poprawionego oprogramowania.

Zespół planował restart później 21 sierpnia, pod warunkiem pomyślnego ukończenia testów. Mainnet może powrócić dopiero wtedy, gdy poprawka przejdzie testy, a szerszy zestaw walidatorów będzie gotowy do skoordynowanej aktualizacji.

Dla użytkowników wstrzymanie oznacza, że zwykła aktywność on-chain nie może być realizowana. Aktywa nie mogą przemieszczać się w MANTRA Chain, operacje stakingowe są niedostępne, a wpłaty i wypłaty tokena pozostały wstrzymane na dotkniętych platformach, zgodnie z wcześniejszymi aktualizacjami dotyczącymi incydentu. MANTRA oświadczyło, że użytkownicy nie musieli podejmować żadnych działań, dopóki sieć pozostawała offline.

Ogłoszenie restartu rozwiązałoby natychmiastowe zamrożenie operacyjne, natomiast ocena przepływów środków przez MANTRA oraz pełny wpływ incydentu na aktywa pozostają odrębną kwestią do obserwacji.

Źródło: CryptoNews