Cosmos Labs a reconnu qu'une vulnérabilité qu'elle avait précédemment examinée et déclarée comme corrigée a ensuite été associée à une exploitation de 5,7 millions de dollars qui s'est propagée sur six chaînes, transformant une erreur de triage en incident de sécurité multi-réseaux.

Ce que Cosmos Labs reconnaît comme étant le problème

Selon le rapport post-mortem du projet, la vulnérabilité à l'origine de l'incident avait été évaluée puis déclarée à tort comme corrigée avant d'être exploitée. Autrement dit, la faille avait été signalée en interne, mais n'avait pas été considérée comme exploitable.

Comme le bug a été déclaré corrigé plutôt que patché, aucun correctif n'a été déployé avant l'exploitation, et l'attaquant a pu agir sur une faiblesse que l'équipe connaissait déjà mais qu'elle avait reléguée au second plan. La perte déclarée s'est élevée à 5,7 millions de dollars, selon The Block.

Cette défaillance relève d'un problème de processus de sécurité plutôt que d'un défaut de produit : l'écart se situe entre la manière dont le bug a été évalué lors de la revue et son comportement réel une fois déployé dans un environnement Cosmos EVM en production. Sous-estimer la gravité lors du triage est un mode de défaillance bien connu des programmes de sécurité en général : des vulnérabilités jugées à faible risque ou inaccessibles lors de la revue peuvent se révéler exploitables en production lorsque l'attaquant découvre un chemin que l'évaluation avait manqué.

Comment le piratage sur six chaînes a amplifié les dégâts

L'exploitation ne s'est pas limitée à un seul réseau. Comme la faille résidait dans un module Cosmos EVM partagé, la même faiblesse sous-jacente est réapparue sur six chaînes ayant hérité du code concerné — ce qui a fait passer l'incident d'un bug touchant une seule chaîne à un événement systémique.

Ce schéma de dépendance partagée est le même que celui qui avait auparavant contraint Cosmos Labs à demander aux chaînes EVM de s'interrompre après qu'un bug partagé a drainé trois réseaux, illustrant comment un module commun transforme un défaut exploitable unique en impacts répétés sur chaque chaîne qui l'utilise.

Pour la DeFi interconnectée basée sur Cosmos, la surface d'attaque croît avec la réutilisation du code : chaque chaîne important le module vulnérable est devenue une cible, multipliant à la fois les pertes financières et les opérations de remise en état pour des équipes qui n'avaient jamais écrit elles-mêmes le code défaillant. Ce risque de contagion lié aux dépendances partagées explique notamment pourquoi les mécanismes de coordination à l'échelle de l'écosystème — divulgations coordonnées, avis de sécurité partagés et capacité à déployer rapidement des correctifs ou à interrompre des chaînes — sont devenus une pratique standard dans les environnements multi-chaînes bâties sur des bases de code communes.

Ce que cet incident implique pour les audits, la remédiation et le risque utilisateur

L'un des réseaux touchés, MANTRA, a interrompu sa chaîne et publié un rapport post-mortem complet de l'incident détaillant la réponse apportée, selon sa propre divulgation. Cela fait écho à l'arrêt d'urgence qu'MANTRA avait utilisé en s'interrompant après le problème du module Cosmos EVM.

La question centrale qui reste sans réponse est de savoir pourquoi un bug identifié en interne a été rétrogradé au statut de corrigé, et quels changements dans les processus de revue et de surveillance de Cosmos Labs permettraient de détecter une mauvaise classification similaire avant le déploiement plutôt qu'après le déplacement des fonds. Il faudra ensuite observer si les changements de processus issus du rapport post-mortem — ainsi que les correctifs ultérieurs déployés sur les chaînes concernées — seront adoptés assez rapidement pour restaurer la confiance dans la sécurité des modules partagés, et si les intégrateurs reconsidéreront leurs propres dépendances vis-à-vis du code affecté.

Pour les intégrateurs et les utilisateurs, le risque concret est qu'une validation d'audit ne vaut pas sécurité réelle : les chaînes dépendant de modules partagés héritent à la fois du code et de son risque non corrigé, de sorte que la surveillance et la capacité d'arrêt rapide comptent autant que la revue pré-lancement qui avait laissé passer la faille.