MANTRA временно приостановила новые операции разстейкинга токенов на семь дней в ответ на продолжающийся эксплойт с использованием кошельков Web3Auth и Keplr, который позволил злоумышленникам получать доступ к приватным ключам пользователей и анстейкнуть их токены MANTRA.

Приостановка распространяется на новые заявки на разстейкинг по всей сети: это означает, что даже держатели, не затронутые эксплойтом, не могут начать вывод застейканных OM, пока мера действует. Она также закрывает тот же путь разстейкинга, которым злоумышленники пользовались для перемещения застейканных балансов, полученных через украденные ключи.

В пятницу, 13 ноября, в проекте сообщили, что участники сообщества уведомили о том, что злоумышленники анстейкали застейканные токены без согласия владельцев после кражи их ликвидных токенов MANTRA.

По словам команды, несколько кошельков, связанных с злоумышленниками, уже заморожены в рамках Governance Proposal 41 — ончейн-меры управления, — а MANTRA работает с Web3Auth и Keplr над восстановлением.

Предыстория

MANTRA — это блокчейн первого уровня, ориентированный на токенизацию реальных активов, и его нативный токен — OM. Сеть построена на Cosmos SDK — фреймворке для разработки, лежащем в основе многих цепочек с доказательством доли в экосистеме Cosmos, где держатели токенов могут стейкать активы для защиты сети, а затем подавать заявки на разстейкинг для вывода застейканных токенов.

В сетях на базе Cosmos SDK разстейкинг не происходит мгновенно: заявки на вывод попадают в период ожидания, в течение которого токены остаются заблокированными. Приостановка новых заявок не позволяет дополнительным застейканным токенам попасть в эту очередь в течение семидневной приостановки.

Keplr — широко используемое расширение для браузера для цепочек экосистемы Cosmos, а Web3Auth предоставляет встроенную инфраструктуру кошельков, позволяющую приложениям подключать пользователей через упрощённые процессы входа и сервисы управления приватными ключами. Инцидент показывает, как компрометация приватного ключа выходит за рамки ликвидных балансов: контроль над ключом означает и контроль над его застейканной позицией, что и позволило украденным ключам создавать несанкционированные заявки на разстейкинг.

Что будет дальше

MANTRA сообщила, что пересмотрит временную приостановку через семь дней и оставила за собой право вводить дополнительные приостановки в зависимости от развития ситуации. У читателей, следящих за инцидентом, есть три конкретных ориентира: семидневный пересмотр приостановки, прогресс восстановительной работы с Web3Auth и Keplr, а также возможные дополнительные приостановки в рамках зарезервированных командой полномочий.

Источники: Crypto Briefing · CryptoNews