MANTRA Chain hat nach einem Schlüsselleck bei Keplr-Wallets zusätzliche Beschränkungen in sein Sicherheitsupgrade v8.8.0 aufgenommen. Ob damit sämtliche Unstaking-Transaktionen für sieben Tage ausgesetzt wurden, geht aus dem veröffentlichten Governance-Antrag 41 nicht hervor.
Welche Änderungen MANTRA nach dem Keplr-Hack vorsieht
Der Antrag sieht den koordinierten Wechsel auf v8.8.0 bei Block 19.571.888 vor. Das Upgrade schließt vier Sicherheitslücken im Modul Cosmos EVM. Zum Wallet-Vorfall heißt es im Antragstext:
„Wegen des Angriffs auf Keplr-Wallets, der eine Schwachstelle bei Web3Auth ausnutzte, kommen weitere Beschränkungen hinzu.“
MANTRA nennt weder die betroffenen Transaktionstypen noch die Dauer der Beschränkungen. Auch ob bereits angestoßene Ausstiege aus dem Staking betroffen sind, bleibt offen. Im regulären Ablauf beginnt mit der Unstaking-Transaktion zunächst eine Wartefrist, bevor die freigegebenen Token wieder verfügbar sind. Diesen Ablauf beschreibt die Staking-Dokumentation von MANTRA.
Tipp der Redaktion: Deutsche Bank startet Bitcoin-Verwahrung: Krypto-Angebot ist live
Im August stand die MANTRA Chain nach einem Angriff auf ihr Cosmos-EVM-Modul zeitweise still. Kryptorevolution berichtete damals über den Stopp der MANTRA Chain.
Keplr meldete am 7. November unautorisierte Transaktionen aus Konten, die per Google- oder Apple-Login angelegt worden waren. Eine Lücke beim Anmeldedienstleister Web3Auth hatte private Schlüssel einiger dieser Wallets offengelegt.
Wallets, die mit einer Wiederherstellungsphrase oder einem Hardware-Gerät eingerichtet wurden, blieben laut Keplr verschont. Keplr-Mitgründer Josh Lee schätzte, dass rund 20 Prozent der Konten mit Google- oder Apple-Login anfällig waren. Lee shchrieb:
„Offenbar wurde nur ein Bruchteil dieser 20 Prozent tatsächlich angegriffen, und bei den übrigen Konten lassen sich die Vermögenswerte möglicherweise noch sichern.“
Zur laufenden Sicherung schrieb das Keplr-Team auf X:
„Die Arbeiten laufen noch. Bei gestakten und gesperrten Vermögenswerten ist die Sicherung aufwendiger und dauert länger.“
Wer den privaten Schlüssel einer betroffenen Wallet kontrolliert, kann damit auch eine Unstaking-Transaktion signieren und so die Freigabe gestakter Token einleiten.
Wie viele MANTRA auf diesem Weg ohne Zustimmung aus dem Staking gelöst oder anschließend abgezogen wurden, bleibt offen. Der Validator Nansen warnte seine Delegierenden auf Cosmos Hub, MANTRA und Injective am 9. November auf X:
„Wenn ihr eure Keplr-Wallet mit einem Google- oder Apple-Konto erstellt habt, könnte sie vom jüngsten Vorfall bei Web3Auth betroffen sein. Wenn ihr bei uns auf Cosmos Hub, MANTRA oder Injective stakt, prüft bitte, wie ihr eure Wallet eingerichtet habt.“
Bitquery beziffert den Keplr-Diebstahl auf mindestens 1,82 Millionen US-Dollar
Die erste von Bitquery dem Angreifer zugerechnete Transaktion stammt vom 1. November. Bis zum 12. November ermittelte der On-Chain-Dienst Abflüsse von mindestens 1,82 Millionen US-Dollar aus 7.842 Cosmos-Wallets, 52 Ethereum-Wallets und 13 Hyperliquid-Konten. Rund 1,01 Millionen US-Dollar waren laut der Analyse von Bitquery bereits vor Beginn der Sicherungsaktion abgeflossen.
Lesetipp: Krypto-Haltefrist 2027: Warum Frank Schäffler noch keine Entwarnung gibt
Web3Auth und Keplr verschoben selbst Vermögenswerte aus gefährdeten Konten auf Sicherungsadressen. Dort lagen laut Bitquery am 7. November umgerechnet rund 6 Millionen US-Dollar.
Der On-Chain-Dienst hatte diese Bewegungen zunächst als Diebstahl gewertet und korrigierte seine Auswertung nach der Veröffentlichung der Sicherungsadressen. Web3Auth erklärte bei der Veröffentlichung der Adressen:
„Uns ist bewusst, dass einige dieser Transaktionen irrtümlich dem Angreifer zugeschrieben wurden. Die folgenden verifizierten Adressen dienen der Sicherung betroffener Vermögenswerte und stehen außerhalb seiner Kontrolle.“
Für MANTRA-Nutzer bleibt offen, welche Staking-Transaktionen eingeschränkt werden und ab wann die jeweiligen Beschränkungen gelten. Web3Auth stellte am 10. November in Aussicht, in den darauffolgenden Tagen zu erklären, wie Eigentümer ihre gesicherten Vermögenswerte zurückerhalten können.
