MANTRA представила отчет по инциденту безопасности: переведено около 721 млн токенов MANTRA, сеть простаивала 30 часов
TechFlow сообщает, 28 августа MANTRA опубликовала полный разбор инцидента безопасности от 20 августа. Инцидент произошёл из-за уязвимости переполнения вниз (underflow) беззнаковых целых чисел в слое учёта остатков cosmos/evm, выступающем прямой зависимостью системы. Злоумышленнику не потребовался доступ с привилегиями для перевода суммарно 720 923 967,99 токенов MANTRA с адреса сжигания и одного многосигнатурного кошелька, оставшегося со времён генезиса. По курсу на момент происшествия эта сумма составила около 3,6 млн долларов США. В MANTRA подчеркнули, что ключи валидаторов, административные ключи, контроль управления (governance) или подписанты мультисигнатуры не были скомпрометированы; списаний с пользовательских аккаунтов, депонированных на биржах балансов, адресов пополнения или контрактов приложений не происходило, а дополнительной эмиссии токенов не допускалось.
Инцидент привёл к недоступности блокчейна MANTRA на 30 часов 13 минут, причём приостановка пополнений и выводов на ряде бирж заняла ещё больше времени. Атакующий направил около 94,7% переведённых средств на адрес пополнения одной из бирж, а оставшиеся примерно 37,96 млн токенов MANTRA оказались заблокированы на фоне остановки сети и ограничений, заложенных в последующих обновлениях. В MANTRA заявили, что возврат средств пока не состоялся, работа по отслеживанию и рекуперации активов передана правоохранительным органам. Разработчики устранили уязвимость и внедрили защитные механизмы в версии v8.4.0. В дальнейшем планируется усилить мониторинг так называемых «инертных адресов» (куда невозможно авторизовать списание, а также адресов для межмодульных переводов и сжигания), а также выступить с инициативой по улучшению процедуры раскрытия уязвимостей в системе прямых зависимостей.
