L'analyse de la cause de l'échec de MANTRA révèle une vulnérabilité de la clé entière cosmos/evm d'une valeur de 3,6 millions de dollars
Le 28 août, MANTRA Chain a publié un rapport complet sur l'exploit survenu les 20-21 août, sans promettre de remboursement. L'attaquant a drainé environ 720,9 millions de tokens MANTRA (soit ~3,6 millions de dollars). La vulnérabilité provenait d'une faille dans une clé entière (integer key) du module cosmos/evm utilisé pour exécuter des contrats de style Ethereum sur Cosmos SDK. Une version affectée ne vérifiait pas la couverture des frais d'appel avant d'approuver les retraits, permettant des boucles sur d'énormes montants. MANTRA insiste que sa propre base de code n'était pas en cause et qu'aucune clé de validateur ou multisig n'a été compromise.
L'attaquant a retiré environ 600 millions de tokens d'un portefeuille de burn et 120,9 millions d'une ancienne multisig liée à une campagne incitative. Ces tokens étaient hors de l'offre en circulation et considérés comme économiquement inactifs ; aucun nouveau token n'a été créé. L'équipe de MANTRA n'a pas détecté les transactions frauduleuses en temps réel pendant les quatre premières heures, par manque de surveillance continue. Le réseau a été arrêté par les validateurs 14 minutes après le deuxième retrait, alors que 37,96 millions de tokens restaient dans le portefeuille de l'attaquant. Il est resté à l'arrêt pendant plus de 30 heures avant un redémarrage sur une version corrigée.
Cette attaque intervient après une période difficile pour MANTRA, dont le token (anciennement OM) avait chuté de plus de 90% en avril 2025. Les autorités sont saisies et MANTRA mettra à jour les données de circulation en fonction des éventuelles récupérations de fonds.
cryptonews.ruIl y a 21 h
