Kompromittierung der Web3Auth-Schlüssel bei MANTRA

Am 13. November 2026 meldete MANTRA — die auf reale Vermögenswerte ausgerichtete Layer-1 hinter dem Token OM — eine Sicherheitsverletzung, bei der Angreifer liquide Guthaben abzogen und gestaktes Nutzerguthaben zwangsentbanden, nachdem eine Schwachstelle bei den Wallet-Infrastrukturanbietern Web3Auth und Keplr die privaten Schlüssel von Konten offengelegt hatte, die über Google- und Apple-Social-Logins erstellt worden waren. Die Gesamthöhe des gestohlenen Betrags wurde nicht offengelegt.

Was geschah

MANTRA Chain ermöglicht die Anmeldung über ein vertrautes Social Login — man meldet sich mit einem Google- oder Apple-Konto an, statt eine Seed-Phrase zu notieren. Hinter diesem Komfort steht Web3Auth, ein eingebetteter Schlüsselverwaltungsdienst, der den Signaturschlüssel der Wallet im Auftrag des Nutzers ableitet und verwahrt und in die im Cosmos-Ökosystem verbreitete Keplr-Wallet eingebunden ist.

Als Ursache wurde eine Infrastruktur-Schwachstelle bei Web3Auth genannt, die die privaten Schlüssel für einen Teil dieser Social-Login-Wallets offenlegte — einer Angabe zufolge etwa 20 % der betroffenen Konten. Wallets, die durch eine 12- oder 24-Wörter-Seed-Phrase oder ein Hardware-Gerät gesichert waren, waren nicht betroffen, da ihre Schlüssel niemals durch den Anbieter laufen.

Mit funktionierenden Signaturschlüsseln gingen die Angreifer wie folgt vor:

1. Sie zogen liquide Guthaben aus kompromittierten Adressen ab.
2. Sie starteten die Proof-of-Stake-Entbindung von gestaktem OM der Opfer, um gesperrte Delegationen in übertragbare Token umzuwandeln, die sie nach Ablauf der Entbindungsfrist stehlen könnten — sie „entbanden deren gestaktes MANTRA ohne Zustimmung", wie das Team es formulierte.

Nachwirkungen

• MANTRA verhängte eine siebentägige Notaussetzung aller neuen Entbindungstransaktionen, um Zeit zu gewinnen, und warnte zugleich, dass bereits in der standardmäßigen achttägigen Entbindungswarteschlange befindliche Anfragen weiter reifen würden und sofort neu delegiert werden sollten.
• Das Team fror mehrere angreiferassoziierte Adressen on-chain über Governance-Vorschlag 41 ein.
• Web3Auth und Keplr setzten die Google- und Apple-OAuth-Anmeldungen aus und verschoben rund 5,6 Millionen US-Dollar noch gefährdeter Vermögenswerte in anbietergesteuerte Wiederherstellungs-Wallets über Cosmos- und EVM-Netzwerke, bevor Angreifer sie erreichen konnten.
• Der OM-Token fiel in den Stunden nach der Offenlegung um etwa 7,3 %. MANTRA erklärte, die Wiederherstellung mit beiden Anbietern zu koordinieren; der endgültige abgezogene Gesamtbetrag blieb unbekannt.

Warum es wichtig ist

Die Sicherheitsverletzung von MANTRA ist ein Verwahrschlüssel-Versagen eine Ebene unterhalb des Nutzers: Niemand verlor eine Seed-Phrase, dennoch wurden viele Wallets offengelegt, weil das Schlüsselmaterial in einem gemeinsam genutzten Drittanbieterdienst lag. Sie gehört zum selben Muster von 2026 — operative Kompromittierung und Schlüsselverwaltung, nicht Smart-Contract-Fehler, treiben die größten Verluste —, das den Binance-Hot-Wallet-Diebstahl, die Bitget-Verletzung und die Duelbits-Wallet-Leerungen hervorbrachte.

Zwei Lehren stechen hervor. Erstens: Social-Login-Wallets bündeln das Risiko — die Funktion, die die Seed-Phrase beseitigt, nimmt dem Nutzer auch die alleinige Kontrolle über den Schlüssel, sodass ein einzelner Anbieterfehler zu einer flottenweiten Kompromittierung wird. Zweitens: Staking vergrößert den Wirkungsradius — Angreifer konnten gesperrtes OM nicht sofort bewegen, doch indem sie es zwangsentbanden, verwandelten sie einen Liquiditätsdiebstahl in einen langsamen Abfluss, was genau der Grund war, weshalb MANTRA zur Abwehr die Entbindungs-Pipeline selbst einfror.