Cosmos Labs räumt Fehleinschätzung kritischen Bugs vor 5,7-Millionen-Dollar-Hack auf sechs Chains ein
Wichtige Erkenntnisse
- •Angreifer nutzten eine Integer-Underflow-Schwachstelle in der gemeinsamen Cosmos-EVM-Software aus, um Wallet-Guthaben aufzublähen und zwischen dem 20. und 25. August rund 5,7 Millionen US-Dollar aus sechs Blockchain-Netzwerken abzuziehen.
- •Cosmos Labs stufte die gemeldete Lücke nach fehlgeschlagenen Reproduktionsversuchen auf Live-Konfigurationen als geringriskant ein und nutzte einen Silent-Patch-Prozess, anstatt Chain-Betreiber privat zu warnen.
- •MANTRA verzeichnete den größten offengelegten Verlust mit rund 3,6 Millionen US-Dollar; TAC verlor fast 3 Milliarden Tokens und KiiChain etwa 148 Millionen KII.
- •Der Patch erschien am 19. August, nur rund 20 Stunden vor dem ersten Angriff, womit Validatoren nur ein enges Zeitfenster zur Koordination und Bereitstellung des Upgrades blieb.
- •Stand 28. August war keines der gestohlenen Gelder wiederbeschafft; mit den Angreifern verbundene Konten bei zentralen Börsen wurden bis zur Klärung eingefroren.
Cosmos Labs hat eingeräumt, eine kritische Sicherheitslücke in Cosmos EVM falsch eingeschätzt zu haben, die Angreifer anschließend auf sechs Blockchain-Netzwerken ausnutzten und dabei zwischen dem 20. und 25. August rund 5,7 Millionen US-Dollar stahlen.
Die Lücke befand sich in gemeinsamer Software, die Cosmos-basierten Netzwerken die Ausführung Ethereum-kompatibler Anwendungen ermöglicht. Ein Forscher meldete die Schwachstelle erstmals am 25. April über das Bug-Bounty-Programm von Cosmos Labs. Die Tester konnten den Exploit jedoch auf den von Live-Netzwerken verwendeten Konfigurationen nicht reproduzieren.
In der Folge stufte Cosmos Labs das Problem als geringriskante Schwachstelle ein und behandelte es über seinen Silent-Patch-Prozess, anstatt Chain-Betreiber privat zu warnen. Diese Entscheidung bedeutete, dass viele Betreiber die Schwere der Lücke erst erfuhren, nachdem die Angriffe bereits begonnen hatten.
Die Sicherheitslücke wurde zu einer großen Bedrohung
Die Schwachstelle beruhte auf einem Integer-Underflow, mit dem Token-Guthaben manipuliert werden konnten. Angreifer konnten ein Wallet so erscheinen lassen, als verfüge es über ein enormes Guthaben, und diesen aufgeblähten Betrag dann nutzen, um Tokens aus anvisierten Konten abzuziehen.
Cosmos Labs stellte später fest, dass die Lücke Cosmos-EVM-Netzwerke breiter betraf. Ein Patch wurde am 19. August veröffentlicht, doch der erste Angriff erfolgte rund 20 Stunden später – ein enges Zeitfenster für Validatoren, die sich zur Prüfung und Bereitstellung von Upgrades über unabhängige Betreiber hinweg koordinieren müssen.
MANTRA verzeichnete den größten offengelegten Verlust mit rund 3,6 Millionen US-Dollar. TAC verlor fast 3 Milliarden Tokens, KiiChain verlor etwa 148 Millionen KII.
Die Angreifer tauschten rund 2,87 Millionen US-Dollar über dezentrale Börsen, weitere 2,85 Millionen US-Dollar flossen über zentrale Börsen. Mit den Angreifern verbundene Konten bei zentralen Börsen wurden bis zur Klärung der Untersuchung eingefroren.
Kritik am Patch-Zeitplan
Der Vorfall hat Kritik von betroffenen Blockchain-Betreibern ausgelöst. MANTRA erklärte, der Patch sei nur 20 Stunden vor dem Angriff erschienen und habe die Sicherheitslücke nicht eindeutig identifiziert.
KiiChain argumentierte zudem, Cosmos Labs hätte die betroffenen Netzwerke sofort anhalten sollen. Die Chain verwies darauf, dass ein Shutdown innerhalb von Minuten hätte durchgeführt werden können, während die Prüfung und Bereitstellung eines Sicherheits-Upgrades über alle Validatoren Tage dauern könne.
Cosmos Labs erklärte, während der Reaktion 40 Chains koordiniert und 13 Netzwerken geholfen zu haben, noch vor den Angreifern zu patchen oder anzuhalten. Das Unternehmen entdeckte zudem 11 zuvor nicht registrierte Cosmos-EVM-Deployments – Deployments, deren Betreiber keinen direkten Kanal für den Empfang von Sicherheitshinweisen hatten.
Der Vorfall unterstreicht die Sicherheits Herausforderungen gemeinsamer Blockchain-Infrastruktur, bei denen eine einzige Software-Schwachstelle mehrere unabhängige Netzwerke gleichzeitig gefährden kann. Er zeigt auch die Zielkonflikte koordinierter Disclosure in Multi-Chain-Ökosystemen auf, wo die Patch-Geschwindigkeit gegen die Gefahr abgewogen werden muss, potenzielle Angreifer zu alarmieren. Stand 28. August war keines der gestohlenen Gelder wiederbeschafft.
