MANTRA、セキュリティインシデントの振り返りを公開：約7.21億枚のMANTRAが移転され、チェーンが30時間停止

TechFlowの報道によると、8月28日、MANTRAは8月20日のセキュリティインシデントに関する全容報告を公開した。本イベントは、上位依存パッケージであるcosmos/evmの残高照会・台帳層における符号なし整数のアンダーフロー脆弱性に起因するものであり、攻撃者は特権アクセスを不要とし、消滅アドレスおよび創世期から残るマルチシグアドレスから合計720,923,967.99枚のMANTRAを移転した。発生前の価格で換算すると約360万米ドルに相当する。MANTRAは、バリデーターキー、管理者キー、ガバナンス権限、またはマルチシグ署名者が侵害されておらず、顧客アカウント、取引所保管顧客残高、入金アドレス、またはアプリケーションコントラクトからの差引も発生していないこと、さらに新規トークンの発行も行われていないことを明かした。

本イベントにより、MANTRAチェーンは30時間13分間利用不能状態となり、一部の取引所では入金および出金の停止がそれ以上に長引いた。攻撃者は移転資金の約94.7％を取引所の入金アドレスへ送金し、残り約3796万枚のMANTRAはチェーンのダウンタイムおよび後続バージョンの制限によりロックされた。MANTRAによれば、現時点で資金回収は実現しておらず、関連する追跡および回復作業は法執行機関へ引渡されているという。チームはv8.4.0で脆弱性を修正し防御策を講じており、今後は権限なき引き落とし、モジュール仲介送金、消滅アドレスなどの「不活性アドレス」に対する監視を強化するとともに、上位依存パッケージ側におけるセキュリティ開示プロセスの改善を促していく予定だ。