MANTRA Chain發佈8月20日安全事件覆盤，漏洞在爲Cosmos SDK提供以太坊虛擬機功能的模塊

MANTRA Chain發佈8月20日安全事件覆盤，確認攻擊者利用上游依賴cosmos/evm餘額記賬層的無符號整數下溢，從兩個地址未授權轉出合計720923967.99枚MANTRA，按攻擊前價格約合360萬美元。

其中從鏈上銷燬地址轉出600000035.56枚，從創世期激勵相關多籤轉出120923932.44枚。項目稱未涉及驗證者密鑰、管理員、治理或多籤簽名人泄露；攻擊者無需特權，部署無權限合約並自籌錢包即可完成。

首次異常轉賬在20日19:06世界時，約6億枚從銷燬地址轉出；22:59再轉約1.209億枚。網絡於23:13停止出塊，升級v8.4.0後恢復，中斷30小時13分鐘。英文狀態頁記載停在區塊17449398，約8月22日05:30世界時重新出塊。

漏洞不在自研業務代碼，而在爲Cosmos SDK提供以太坊虛擬機功能的模塊：餘額不足時仍做無符號扣減並溢出，繞過正常授權。同模塊同周還打擊TAC、KiiChain等鏈，Cosmos Labs呼籲未打補丁網絡停鏈。代幣一度跌約18.5%至約0.0041美元紀錄低位。

截至28日未追回資金。約3796萬枚（佔被轉移量5.27%）留在攻擊者地址，因停鏈與v8.4.0限制被凍，其餘流向交易平臺，已進入執法調查。後續將加強對銷燬地址等“不可轉”賬戶的監控，並推動生態改進漏洞披露。

買方是在停鏈窗口出貨的交易者，賣方是無法動用被盜籌碼的項目金庫。資金從銷燬地址和激勵多籤流向攻擊者再進交易所。受益的是搶先上架現貨的平臺與做空盤；承壓的是把真實世界資產敘事寫在這條一層網絡上的持倉。這是共享模塊漏洞，不是驗證者叛變。

來源：公開信息

ABAB AI 解讀

MANTRA把自身定位成迪拜持牌、真實世界資產一層網，安全邊界卻寫在Cosmos EVM這一份公共庫上。銷燬地址和創世多籤被當成不可動，記賬層卻允許下溢把“零”寫成“極大”。停鏈30小時是中心化應急：驗證者按指令下線，再用v8.4.0集體重啓。去中心化出塊，中心化按下暫停鍵。

資本路徑是激勵代幣沉在銷燬地址和多籤裏，被當成已退出流通；攻擊把它重新變成可交易供給。360萬美元按市值不大，對把代幣當治理和費用的鏈是供給衝擊。同代碼多鏈同周被打，說明披露窗口比補丁傳播更慢。交易所先收到籌碼，執法後到，是鏈上盜竊的標準時間差。

類似2022年後跨鏈橋共用庫連續被掏，也類似Saga等更早的預編譯漏洞。Cosmos生態處在控制階段：EVM兼容換來以太坊工具，也換來同一處下溢。真實世界資產一層網賣的是牌照敘事，買到的是公共模塊的補丁節奏。

本質是技術替代未完成時的共享風險。機制是虛擬機鏡像餘額與共識層餘額各記一套，扣減缺少下溢保護就會在兩套賬之間造出“不存在的可花餘額”。誰先停鏈誰少虧，誰晚打補丁誰給鄰鏈的攻擊者當提款機。

ABAB News · 認知定律