Dalam laporan lengkap yang diterbitkan pada 28 Agustus, perusahaan MANTRA Chain tidak memberikan janji spesifik mengenai pemulihan dana. Sebaliknya, publikasi tersebut menyajikan tinjauan resmi mengenai serangan yang terjadi pada 20-21 Agustus, ketika pelaku kejahatan menarik sekitar 720,9 juta token MANTRA dari proyek, setara dengan kurang lebih $3,6 juta.
Pesan hari ini secara resmi menilai nilai serangan yang terjadi seminggu lalu, yang, ditegaskan oleh proyek, disebabkan oleh kesalahan dalam kode yang tidak terkait langsung dengan kodenya sendiri.
Sementara itu, MANTRA mengonfirmasi bahwa pihak penegak hukum telah terlibat, dan informasi akan disediakan seiring dengan masuknya data mengenai pengembalian dana. Perusahaan juga menyatakan akan memperbarui data tentang jumlah token yang beredar setelah mendapatkan gambaran yang lebih jelas mengenai token mana yang terjebak di dompet pelaku kejahatan dan bagaimana kemungkinan pengembaliannya.
Apa yang Menyebabkan Kerentanan pada MANTRA?
Menurut analisis kerentanan di MANTRA Chain, masalah ini bermula dari komponen umum cosmos/evm yang digunakan untuk menjalankan Ethereum Virtual Machine (EVM) di atas Cosmos SDK.
Dalam versi yang terdampak, kode tidak memeriksa apakah saldo akun mencukupi untuk biaya panggilan sebelum persetujuan transaksi dari saldo akun. Transaksi terus dieksekusi karena kode menggunakan bilangan bulat tak bertanda yang tidak boleh kurang dari nol. Alih-alih, terjadi pelintiran (wrapping) ke angka yang sangat besar.
MANTRA menjelaskan bahwa tidak ada kunci validator, mekanisme tata kelola, atau perangkat multi-tanda yang diretas. Proyek ini juga bersikeras bahwa kerentanan kode yang dieksploitasi oleh pelaku kejahatan tidak berasal dari sisi mereka sendiri.
Perusahaan MANTRA menulis bahwa "pelaku kejahatan tidak memerlukan akses istimewa", karena mereka memiliki sumber daya yang cukup untuk menjalankan tugas berkat kontrak pintar (smart contract) yang di-deploy tanpa izin dan dompet mereka sendiri.
Berapa Kerugian yang Dialami MANTRA?
Menurut data MANTRA, pelaku kejahatan mengeksekusi transaksi pengambilan sekitar 600 juta token MANTRA dan tambahan 120,9 juta token dari alamat pembakaran (burn address) dan tanda tangan ganda genesis era lama yang tidak aktif, masing-masing terkait dengan kampanye insentif lama.
Perusahaan MANTRA memperjelas detail teknis dampak serangan, menegaskan bahwa token baru tidak dicetak. Sebaliknya, sebagai akibat dari eksploitasi, sekitar 720,9 juta token yang berada di luar persediaan yang beredar dan dianggap tidak aktif secara ekonomi, dirilis ke dalam sirkulasi.
Laporan tersebut juga menunjukkan pola pergerakan token yang terprogram, karena transaksi tampaknya berjalan dalam volume tetap pada interval pendek, daripada ditangani secara manual.
MANTRA Melewatkan Transaksi Secara Real-Time
Mengakui sendiri, tim MANTRA menyatakan bahwa mereka gagal mendeteksi satu transaksi penipuan pun dalam empat jam pertama setelah eksploitasi. MANTRA menjelaskan kelalaian ini karena tidak adanya pemantauan 24/7 pada alamat pembakaran token yang seharusnya tidak dapat ditransfer.
Beberapa jam sebelum tim mendeteksi tanda-tanda bahaya, pelaku kejahatan melakukan dua transaksi dan menarik sebagian besar dana curian keluar dari blockchain, sebelum para validator menghentikan jaringan pada pukul 23:13 UTC, 14 menit setelah penarikan kedua.
Saat blockchain dihentikan, masih ada 37,96 juta token di dompet pelaku kejahatan.
Jaringan tetap dinonaktifkan selama 30 jam 13 menit hingga 05:26 UTC pada 22 Agustus, setelah para validator mengoordinasikan restart pada versi yang telah diperbaiki, yaitu 8.4.0.
MANTRA mungkin bisa menghindari episode terakhir yang dramatis ini dalam 18 bulan terakhir untuk proyek yang masih berusaha memulihkan kepercayaan. Token OM sebelumnya dari MANTRA anjlok lebih dari 90% dalam satu sesi pada April 2025, kehilangan nilai lebih dari $5 miliar, seperti dilaporkan Cryptopolitan saat itu.
Bahkan perusahaan Inveniam Capital Partners, yang menginvestasikan $20 juta ke MANTRA pada tahun 2025, mengakui adanya masalah masa lalu, ketika pada Juni mereka menyetujui untuk mengakuisisi proyek tersebut.
Menurut data CoinGecko, setelah penghentian pertama dipicu, token turun 18,5% ke rekor terendah sekitar $0,004126 sebelum pulih.
