Piątek trzynastego na znanym altcoinie. Hakerzy wyciągają tokeny, giełdy wyrzucają ich za drzwi
MANTRA, blockchain służący do tokenizacji aktywów ze świata rzeczywistego, wstrzymała na tydzień wypłaty ze stakingu. Hakerzy przejęli klucze prywatne części portfeli Keplr, wyczyścili znajdujące się tam krypto należące do ofiar i zabrali się za tokeny zablokowane w stakingu. Kilka godzin wcześniej największa koreańska giełda Upbit ogłosiła, że w grudniu zdejmie całkowicie token z obrotu na platformie. Jak na piątek trzynastego przystało.
MANTRA na celowniku hakerów. Co to oznacza dla posiadaczy?
Komunikat pojawił się na oficjalnym profilu projektu dzisiaj około południa czasu polskiego. Zespół przyzna że spływa do nich prawdziwa lawina skarg od społeczności: ktoś bowiem bez zgody właścicieli zleca tzw. unbonding, czyli wycofywanie zdelegowanych tokenów ze stakingu. W sieciach ekosystemu Cosmos, do których należy MANTRA, nie da się tego zrobić od ręki. Wycofane tokeny czekają w kolejce przez osiem dni i dopiero po tym czasie wracają na saldo, z którego następnie można je przelać. Haker z cudzym kluczem w ręku nie musi się spieszyć. Wystarczy że zaczeka.
W odpowiedzi na doniesienia projekt zablokował na siedem dni wszystkie nowe zlecenia wypłat ze stakingu. Zegar dla tych którzy złożyli je wcześniej tyka w dalszym ciągu, więc poszkodowani muszą przed upływem ośmiu dni ponownie zdelegować swoje tokeny do walidatora. Kolejna próba ich wycofania utknie wtedy na blokadzie. MANTRA zastrzega, że po tygodniu oceni ponownie sytuację i może zdecydować się przedłużyć pauzę. Kilka portfeli hakerów zamroziła już wcześniej, na mocy propozycji zarządczej nr 41.
Sęk w tym, że blokada nie odróżnia ofiary od złodzieja. Przez co najmniej tydzień ze stakingowu nie wyjdzie nikt, także ci, którzy chcieliby sprzedać tokeny przed delistingiem na giełdzie Upbit o którym piszemy szerzej w kolejnych akapitach. Zespół sięga po hamulec ręczny już drugi raz od sierpnia tego roku.
Złodziej buszował w portfelach Keplr przez wiele dni
Źródłem problemu nie jest sama MANTRA, lecz Web3Auth, bardzo wygodna dla użytkownika usługa pozwalająca zakładać portfele kryptowalutowe przy pomocą konta Google lub Apple ID. Od 2025 roku należy ona do Consensysu, firmy której topowy produkt kojarzycie wszyscy: mowa o portfelu MetaMask. Z jej usług korzystał Keplr, najpopularniejszy portfel ekosystemu Cosmos. 6 listopada wieczorem Web3Auth wyłączyła usługę, a nad ranem 7 listopada Keplr ostrzegł użytkowników przed nieautoryzowanymi transakcjami. Portfeli zakładanych z frazą odzyskiwania (seed) oraz sprzętowych problem nie dotyczy. Współzałożyciel Keplra Josh Lee szacował, że luka objęła około 20 proc. kont zakładanych przez Google i Apple.
Pierwsze doniesienia mówiły o 6 mln dolarów skradzionych z ponad 44 tys. portfeli. Te przelewy okazały się jednak… akcją ratunkową. Web3Auth, korzystając z tej samej luki co napastnik, przeniosła środki zagrożonych użytkowników na własne adresy i zapewnia, że są tam bezpieczne. Szczegóły zwrotu obiecała 10 listopada podać w ciągu kilku najbliższych dni.
Faktyczną skalę kradzieży policzyła dopiero firma analityczna Bitquery. Z jej śledztwa on-chain wynika, że haker wyciągnął co najmniej 1,82 miliona dolarów z 7842 portfeli w sieciach Cosmos, 52 portfeli Ethereum i 13 kont na giełdzie Hyperliquid. Ciekawsza od kwoty jest jednak sama data. Pierwsze tokeny zniknęły już 1 listopada, pięć dni przed jakimkolwiek komunikatem, a zanim ruszyła akcja ratunkowa, napastnikowi udało się „przytulić’ ponad milion dolarów. Ostatnią jego transakcję analitycy zanotowali w czwartek po godzinie 13. Sieci MANTRA analitycy bezpośrednio nie prześwietlili, więc straty posiadaczy tego tokena pozostają nieznane.
Upbit stracił cierpliwość
Wiadomość o stakingu była dla projektu już drugim z rzędu ciosem jednego dnia. Rano południowokoreański Upbit ogłosił, że 14 grudnia o godz. 7:00 czasu polskiego zakończy oficjalnie handel na parach MANTRA/KRW, MANTRA/BTC i MANTRA/USDT, a wypłaty tokenów obsłuży do 13 stycznia 2027 r. Tę samą datę wyznaczył Bithumb, druga co do wielkości giełda w Korei Południowej.
To pokłosie ataku z okresu wakacyjnego. 20 sierpnia napastnik wykorzystał błąd w module Cosmos EVM, odpowiadającym za zgodność z Ethereum, i wyciągnął z dwóch portfeli zarządzanych przez zespół około 721 mln tokenów, wartych wówczas ok. 3,6 miliona dolarów. Sieć stanęła na dwa dni, a koreańskie giełdy wpisały MANTRA na listę ostrzegawczą. Upbit dwukrotnie przedłużał okres obserwacji, aż uznał, że przyczyny dla których wydano ostrzeżenie nie zostały właściwie zaadresowane przez twórców projektu. W piątek po godzinie 13 zakończyło się z kolei głosowanie nad propozycją nr 40, w której zespół chce odebrać sierpniowemu hakerowi 37,96 mln tokenów, wciąż zamrożonych na jego adresie.
Kurs zareagował nerwowo, a nie pomagała mu atmosfera na rynku, który ma za sobą fatalny tydzień. Rano token tracił ponad 10% w skali doby, a według agregatora CoinGecko w tym tygodniu zszedł do najniższego poziomu w całej swojej historii, około 0,0028 USD za sztukę. Kapitalizacja projektu, który przed kwietniowym krachem z 2025 roku wyceniano na ok. 6 mld dolarów, skurczyła się już do niespełna 20 mln USD.
