MANTRA 发布 Cosmos EVM 漏洞事件报告，攻击者共转移约 360 万美元 MANTRA

BiRun 讯，MANTRA 发布 8 月 20 日安全事件完整事后报告。报告显示，攻击者利用 MANTRA Chain 所依赖的上游模块 Cosmos EVM 中一处无符号整数下溢漏洞，从两个未经授权的地址转移出共计 720,923,967.99 枚 MANTRA（按事发当日约 0.005 美元现货价计算约合 360 万美元），其中 6 亿枚来自销毁地址，1.21 亿枚来自一个与激励活动相关的创世多签地址。攻击未涉及验证人密钥、管理员密钥、治理权限或多签签名人被盗，攻击者也未获得任何特权访问。MANTRA 表示，该漏洞早在 5 月 15 日已在 Cosmos EVM 开发分支修复，但直到 8 月 19 日才被回溯合并进发布分支，距首次攻击仅约 20 小时，未能给下游链留出充分响应窗口。链上首笔异常转账发生于 8 月 21 日 3:06，因销毁地址此前被视为不可转移、未被监控覆盖，近 4 小时后才被发现，期间攻击者已完成第二笔转移并将大部分资金转出。MANTRA Chain 于 7:13 停链，历时 30 小时 13 分钟后，于 8 月 22 日在修复版本 v8.4.0 下由 38 个独立验证人协调重启，未发生回滚或状态重写。报告称，被盗资金中约 94.7%（6.83 亿枚）已通过 15 笔转账流向某交易所充值地址，剩余约 3796 万枚（占比 5.27%）仍滞留于攻击者账户并已被冻结，但强调「冻结不等于已找回」，资金追回目前已进入执法调查阶段。MANTRA 表示未有任何客户账户、交易所托管余额或应用合约被扣款，但网络中断确实对生态造成实质影响，并已对交易账户来源与签名者不一致等异常行为建立新的监控规则。