MANTRA Chain安全事件是怎么回事？cosmos/evm漏洞原因与资金去向解析

MANTRA Chain于8月20日发布安全事件完整审查报告。报告显示，攻击者利用了上游依赖cosmos/evm模块中的无符号整数下溢漏洞，在余额记账层未授权转移共计720,923,967.99枚MANTRA。按攻击发生前的价格计算，这批资产估值约360万美元。其中，600,000,035.56枚MANTRA从链上销毁地址转出，另有120,923,932.44枚MANTRA来自一个与早期激励计划相关的创世时期多签地址。

攻击路径与漏洞原理

MANTRA方面强调，本次事件不涉及验证器密钥泄露、管理员权限、治理控制或多签签名者私钥泄露。攻击者无需任何特权访问，仅通过未授权合约部署和自筹资金钱包即可完成攻击。该漏洞并非MANTRA自研代码问题，而是源于负责在Cosmos SDK上提供EVM功能的cosmos/evm模块。漏洞使得攻击者能够在不检查余额是否充足的情况下，执行无符号余额扣减操作，导致数值溢出并绕过正常的账户授权逻辑。

事件时间线与链中断影响

根据报告梳理的时间线，首次异常转账发生于UTC时间8月20日19:06，攻击者从销毁地址转出约6亿枚MANTRA；随后于当日22:59，再次发生约1.209亿枚MANTRA的转账。链上运营方在23:13暂停了网络运行，并在升级至v8.4.0后恢复出块。此次全网中断共计持续30小时13分钟。

资金去向与追回进展

截至报告发布时，被盗资金尚未追回。约3796万枚MANTRA（占转移总额的5.27%）仍留存于攻击者地址，由于链暂停及v8.4.0升级后的限制，该部分资金目前处于冻结状态。其余资产已流向相关交易平台，资金追回工作已进入执法调查阶段。

后续安全改进方向

MANTRA表示，未来将加强对无法正常授权转账的账户、销毁地址以及其他历史上"非转账"地址的监控。同时，项目方将致力于推动Cosmos生态系统内部安全漏洞披露流程的改进，以降低类似上游漏洞对下游链的影响风险。