MANTRA publie le bilan de l'incident de sécurité : environ 721 millions de jetons MANTRA transférés, la chaîne hors service pendant 30 heures.
Selon TechFlow, le 28 août, MANTRA a publié un compte rendu complet de l'incident de sécurité survenu le 20 août. L'incident découle d'une vulnérabilité de sous-dépassement d'entier non signé au niveau de la couche de comptabilisation des soldes de la dépendance amont cosmos/evm. Sans nécessiter d'accès privilégié, l'attaquant a transféré un total de 720 923 967,99 jetons MANTRA depuis une adresse de brûlage et une adresse multi-signatures datant du Genesis, représentant environ 3,6 millions de dollars US au cours précédant l'incident. MANTRA précise qu'aucune clé de validateur, clé d'administration, droit de gouvernance ni signataire multi-signatures n'a été compromise. Aucun compte client, solde client custodié par un échange, adresse de dépôt ou contrat d'application n'a été débité, et aucun nouveau jeton n'a été émis.
L'incident a rendu la chaîne MANTRA indisponible pendant 30 heures et 13 minutes, certaines plateformes ayant suspendu leurs dépôts et retraits pour une période plus longue. L'attaquant a dirigé environ 94,7 % des fonds transférés vers une adresse de dépôt sur un échange. Les 37,96 millions de jetons MANTRA restants ont été gelés en raison de l'indisponibilité de la chaîne et des restrictions introduites dans les versions subséquentes. MANTRA indique que les fonds n'ont pas encore été récupérés ; le traçage et les démarches de restauration ont été confiés aux forces de l'ordre. L'équipe a déjà corrigé la faille dans la version v8.4.0 et déployé des contre-mesures. Elle intensifiera par la suite la surveillance des « adresses paresseuses », notamment celles ne pouvant autoriser de prélèvements tels que les transferts intermédiaires de modules ou les adresses de brûlage, et poussera les dépendances amont à améliorer leurs processus de divulgation de sécurité.
