MANTRA Chain telah mempublikasikan post-mortem atas insiden keamanan yang membekukan jaringannya pada 20 Agustus, dengan menyalahkan bug underflow pada bilangan unsigned integer di logika akuntansi saldo pada stack Cosmos EVM upstream yang dipakainya. Menurut retrospektif ini, dilaporkan 28 Agustus oleh PANews, penyerang memanfaatkan celah tersebut untuk memindahkan 720.923.967,99 token MANTRA dari sebuah alamat burn dan dompet multisig lama era genesis, tanpa pernah mendapatkan akses istimewa ke jaringan. Pada harga spot MANTRA sebelum insiden sekitar $0,005, tim menaksir nilai token yang dipindahkan itu sekitar $3,6 juta.
Highlights
- Post-mortem MANTRA menyalahkan bug underflow unsigned integer pada lapisan akuntansi saldo Cosmos EVM upstream sebagai penyebab insiden 20 Agustus.
- Sekitar 720,9 juta token MANTRA berpindah dari alamat burn (~600 juta) dan multisig lama era genesis (~120,9 juta), bernilai sekitar $3,6 juta.
- Tim menyatakan kunci validator, kunci admin, kendali governance, dan penanda tangan multisig tidak pernah diretas, dan tidak ada token baru yang dicetak.
- Karena token yang dipindahkan sebelumnya berstatus non-circulating, sekitar 720,9 juta MANTRA kini masuk hitungan circulating supply.
Apa yang Terjadi Menurut Post-Mortem
Insiden ini bermula pada 20 Agustus, ketika mainnet MANTRA berhenti memproduksi blok setelah tim insinyur mendeteksi aktivitas anomali yang terkait modul Cosmos EVM-nya. Jaringan dihentikan sementara sambil tim menyelidiki, dan kemudian kembali beroperasi dengan binary yang sudah ditambal. Post-mortem yang dipublikasikan lebih dari sepekan kemudian ini adalah penjelasan paling lengkap dari tim soal apa yang sebenarnya dilakukan penyerang: alih-alih membobol infrastruktur validator atau kunci admin, eksploitasi ini murni bekerja dengan memanipulasi cara buku besar saldo mencatat jumlah token, membuat kondisi underflow mengkreditkan penyerang dengan token yang seharusnya tetap terkunci di alamat non-circulating.
Underflow, dan Asal Token
Menurut post-mortem, akar masalahnya ada pada lapisan akuntansi saldo yang dipakai bersama di berbagai deployment Cosmos EVM, di mana pengurangan bilangan unsigned integer bisa "wrap around" menjadi nilai positif yang sangat besar, alih-alih menghasilkan error, saat hasil kalkulasi saldo turun di bawah nol — bug underflow klasik. Laporan independen soal masalah Cosmos EVM yang lebih luas ini menyebut mekanisme serupa, di mana precompile staking salah menghitung saldo yang ditulis kembali ke EVM setelah delegasi — celah yang dikabarkan juga menyentuh chain Cosmos EVM lain pada periode yang sama. Dari 720,9 juta token MANTRA yang berpindah, MANTRA menyebut sekitar 600 juta berasal dari alamat burn dan sekitar 120,9 juta dari dompet multisig lama peninggalan genesis jaringan.
Baca juga: Solana Mulai Uji SIMD-0437 di Testnet, Bidik Rent Turun 90%
Dampaknya bagi MANTRA dan Circulating Supply
Tim MANTRA menegaskan ini bukan peretasan konvensional: tidak ada kunci validator, kunci admin, mekanisme governance, atau penanda tangan multisig yang diretas, dan perusahaan menyatakan tidak ada dana yang terpotong dari akun pengguna, saldo exchange, alamat deposit, atau kontrak aplikasi. Tidak ada token MANTRA baru yang dicetak dalam proses ini. Meski begitu, dampak praktisnya terhadap tokenomik tetap nyata. Karena alamat burn dan multisig lama itu sama-sama dihitung sebagai non-circulating, sekitar 720,9 juta token yang berpindah kini dianggap masuk circulating supply — pergeseran yang penting bagi siapa pun yang melacak kapitalisasi pasar MANTRA atau menilai token ini terhadap jadwal pasokan yang dinyatakan. Untuk token yang sudah diperdagangkan mendekati rekor terendah pasca penghentian jaringan, tambahan tak terduga pada floating supply adalah detail yang ingin dilihat pemegang token dan exchange tercermin dalam model mereka.
Peringatan Lebih Besar bagi Chain Cosmos EVM
Insiden MANTRA muncul bersamaan dengan eksploitasi serupa di jaringan berbasis Cosmos EVM lain pada periode yang sama, menegaskan bahwa cacat yang mendasarinya bukan unik milik implementasi MANTRA, melainkan risiko dependensi bersama di seluruh ekosistem. Pola ini jadi pengingat bahwa chain yang dibangun di atas modul upstream yang sama mewarisi bukan cuma fungsionalitas, tapi juga permukaan kerentanan, dan satu bug akuntansi bisa merambat ke berbagai jaringan yang tak saling berkaitan hampir bersamaan. Bagi MANTRA sendiri, hal berikutnya yang perlu diperhatikan adalah apakah audit lanjutan terhadap binary Cosmos EVM yang sudah ditambal menemukan masalah terkait lainnya, apakah tim atau Cosmos Labs upstream mempublikasikan pengungkapan teknis tambahan soal dua cacat lain yang disebut dalam liputan insiden yang lebih luas, dan bagaimana MANTRA menangani implikasi akuntansi pasokan dari token yang tak terduga keluar dari status non-circulating.
