MANTRA tymczasowo wstrzymał nowe transakcje unbonding tokenów na siedem dni w odpowiedzi na trwający eksploit wykorzystujący portfele Web3Auth i Keplr, który pozwolił atakującym uzyskać dostęp do prywatnych kluczy użytkowników i unstake'ować ich posiadane tokeny MANTRA.

Wstrzymanie obejmuje nowe wnioski o unstaking w całej sieci, co oznacza, że nawet posiadacze niedotknięci eksploitem nie mogą rozpocząć wypłaty staked OM, dopóki obowiązuje. Zamyka ono również tę samą ścieżkę unbonding, którą atakujący przenosili staked salda uzyskane za pomocą skradzionych kluczy.

Projekt poinformował w piątek, 13 listopada, że członkowie społeczności zgłaszali, iż atakujący unstake'owali ich staked tokeny bez zgody po ukradnięciu ich płynnych posiadanych tokenów MANTRA.

Zdaniem zespołu kilka portfeli powiązanych z atakującymi zostało już zamrożonych na mocy Governance Proposal 41, czyli on-chain środka zarządczego, a MANTRA współpracuje z Web3Auth i Keplr nad działaniami naprawczymi.

Kontekst

MANTRA to warstwa pierwsza (layer-1) blockchainu skoncentrowana na tokenizacji aktywów rzeczywistych, a jej natywnym tokenem jest OM. Sieć jest zbudowana na Cosmos SDK, frameworku deweloperskim stanowiącym podstawę wielu łańcuchów proof-of-stake w ekosystemie Cosmos, gdzie posiadacze tokenów mogą stake'ować aktywa, aby pomóc w zabezpieczeniu sieci, a następnie składać wnioski o unbonding w celu wypłaty staked tokenów.

W sieciach opartych na Cosmos SDK unbonding nie jest natychmiastowy: wnioski o unstaking przechodzą okres oczekiwania, podczas którego tokeny pozostają zablokowane. Wstrzymanie nowych wniosków sprawia, że dodatkowe staked tokeny nie trafiają do tej kolejności przez cały czas trwania siedmiodniowego wstrzymania.

Keplr to szeroko używane rozszerzenie przeglądarki obsługujące łańcuchy ekosystemu Cosmos, natomiast Web3Auth dostarcza infrastrukturę osadzonych portfeli, umożliwiającą aplikacjom przyjmowanie użytkowników poprzez uproszczone procesy logowania i usługi zarządzania kluczami prywatnymi. Incydent pokazuje, jak kompromitacja klucza prywatnego wykracza poza płynne salda: kontrola nad kluczem oznacza również kontrolę nad powiązaną pozycją staked, i właśnie w ten sposób skradzione klucze wygenerowały nieautoryzowane wnioski o unbonding.

Co dalej

MANTRA oświadczył, że ponownie oceni tymczasowe wstrzymanie po siedmiu dniach i zastrzegł sobie prawo do wprowadzenia dodatkowych wstrzymań w zależności od rozwoju sytuacji. Śledzący incydent czytelnicy mają trzy konkretne punkty do obserwacji: siedmiodniową ponowną ocenę wstrzymania, postęp prac naprawczych z Web3Auth i Keplr oraz to, czy zespół wprowadzi dodatkowe wstrzymania na podstawie zastrzeżonego uprawnienia.

Źródła: Crypto Briefing · CryptoNews