Compromiso de claves de Web3Auth en MANTRA

El 13 de noviembre de 2026, MANTRA —la capa 1 centrada en activos del mundo real detrás del token OM— reveló una brecha de seguridad en la que los atacantes drenaron saldos líquidos y desvincularon por la fuerza los tokens en staking de los usuarios, después de que una vulnerabilidad en los proveedores de infraestructura de carteras Web3Auth y Keplr expusiera las claves privadas de las cuentas creadas mediante inicios de sesión sociales de Google y Apple. El monto total robado no fue revelado.

Qué ocurrió

MANTRA Chain permite a los usuarios registrarse con un inicio de sesión social familiar: iniciar sesión con una cuenta de Google o Apple en lugar de anotar una frase semilla. Detrás de esa comodidad está Web3Auth, un servicio integrado de gestión de claves que deriva y custodia la clave de firma de la cartera en nombre del usuario, conectado a la cartera Keplr usada en todo el ecosistema Cosmos.

La causa raíz reportada fue una vulnerabilidad de infraestructura en Web3Auth que expuso las claves privadas de una parte de estas carteras de inicio de sesión social: según un informe, aproximadamente el 20 % de las cuentas afectadas. Las carteras protegidas por una frase semilla de 12 o 24 palabras o por un dispositivo de hardware no se vieron afectadas, porque sus claves nunca pasan por el proveedor.

Con claves de firma funcionales en su poder, los atacantes:

1. Vaciaron los saldos líquidos de las direcciones comprometidas.
2. Iniciaron la desvinculación de proof-of-stake del OM en staking de las víctimas, con el objetivo de convertir las delegaciones bloqueadas en tokens transferibles que podrían robar una vez transcurrido el periodo de desvinculación: «desvinculando su MANTRA en staking sin su consentimiento», como lo expresó el equipo.

Consecuencias

• MANTRA impuso una suspensión de emergencia de siete días de todas las nuevas transacciones de desvinculación para ganar tiempo, advirtiendo al mismo tiempo que las solicitudes que ya estaban en la cola estándar de desvinculación de ocho días seguirían madurando y debían volver a delegarse de inmediato.
• El equipo congeló varias direcciones asociadas a los atacantes on-chain mediante la Propuesta de Gobernanza 41.
• Web3Auth y Keplr suspendieron los inicios de sesión OAuth de Google y Apple y trasladaron alrededor de 5,6 millones de dólares de activos aún en riesgo a carteras de recuperación controladas por los proveedores a través de redes Cosmos y EVM, antes de que los atacantes pudieran alcanzarlos.
• El token OM cayó alrededor de un 7,3 % en las horas posteriores a la divulgación. MANTRA dijo que estaba coordinando la recuperación con ambos proveedores; el total final drenado quedó sin revelar.

Por qué importa

La brecha de MANTRA es un fallo de clave custodiada a una capa de distancia del usuario: nadie perdió una frase semilla, pero muchas carteras quedaron expuestas porque el material de las claves residía dentro de un servicio de terceros compartido. Pertenece al mismo patrón de 2026 —el compromiso operativo y de gestión de claves, no los errores de contratos inteligentes, impulsan las mayores pérdidas— que produjo el robo de la cartera caliente de Binance, la brecha de Bitget y los vaciados de carteras de Duelbits.

Destacan dos lecciones. Primera: las carteras de inicio de sesión social concentran el riesgo —la función que elimina la frase semilla también le quita al usuario el control exclusivo de la clave, de modo que un único error del proveedor se convierte en un compromiso de toda la flota. Segunda: el staking amplifica el radio de impacto —los atacantes no podían mover al instante el OM bloqueado, pero al desvincularlo por la fuerza convirtieron un robo de liquidez en un drenaje a cámara lenta, que es precisamente la razón por la que la medida defensiva de MANTRA fue congelar la propia tubería de desvinculación.