Cosmos Labs a reconnu avoir mal évalué une vulnérabilité critique de Cosmos EVM, exploitée ensuite par des attaquants sur six réseaux blockchain, avec un vol d'environ 5,7 millions de dollars entre le 20 et le 25 août.

La faille se trouvait dans un logiciel partagé permettant aux réseaux basés sur Cosmos d'exécuter des applications compatibles Ethereum. Un chercheur a signalé la vulnérabilité pour la première fois via le programme de prime aux bugs de Cosmos Labs le 25 avril. Cependant, les testeurs n'ont pas réussi à reproduire l'exploit sur les configurations utilisées par les réseaux en production.

En conséquence, Cosmos Labs a classé le problème comme une vulnérabilité à risque moindre et l'a traité via son processus de correctif silencieux plutôt que d'alerter en privé les opérateurs de chaînes. Cette décision a fait que de nombreux opérateurs n'ont pris conscience de la gravité de la faille qu'après le début des attaques.

La vulnérabilité est devenue une menace sécuritaire majeure

La vulnérabilité impliquait un dépassement d'entier (integer underflow) permettant de manipuler les soldes de tokens. Les attaquants ont pu faire apparaître un portefeuille comme détenant un solde énorme, puis utiliser ce montant gonflé pour vider les tokens de comptes ciblés.

Cosmos Labs a ensuite déterminé que la faille affectait plus largement les réseaux Cosmos EVM. Un correctif a été publié le 19 août, mais la première attaque a eu lieu environ 20 heures plus tard — une fenêtre très étroite pour les validateurs, qui doivent se coordonner entre opérateurs indépendants pour examiner et déployer les mises à niveau.

MANTRA a subi la plus grande perte révélée, d'environ 3,6 millions de dollars. TAC a perdu près de 3 milliards de tokens, tandis que KiiChain a perdu environ 148 millions de KII.

Les attaquants ont échangé environ 2,87 millions de dollars via des exchanges décentralisés, tandis qu'un autre montant de 2,85 millions de dollars a transité par des exchanges centralisés. Les comptes d'exchanges centralisés liés aux attaquants ont été gelés dans l'attente de l'enquête.

Le calendrier du correctif suscite des critiques

L'incident a suscité des critiques de la part des opérateurs blockchain touchés. MANTRA a déclaré que le correctif n'était arrivé que 20 heures avant l'attaque et n'identifiait pas clairement la vulnérabilité.

KiiChain a estimé que Cosmos Labs aurait dû demander aux réseaux concernés de s'arrêter immédiatement. La chaîne a indiqué qu'un arrêt aurait pu être effectué en quelques minutes, alors que l'examen et le déploiement d'une mise à niveau de sécurité sur l'ensemble des validateurs peuvent prendre plusieurs jours.

Cosmos Labs a déclaré avoir coordonné sa réponse avec 40 chaînes et aidé 13 réseaux à appliquer un correctif ou à s'arrêter avant que les attaquants ne les atteignent. L'entreprise a également découvert 11 déploiements Cosmos EVM jusque-là non recensés — des déploiements dont les opérateurs ne disposaient d'aucun canal direct pour recevoir les notifications de sécurité.

L'incident souligne les défis de sécurité liés aux infrastructures blockchain partagées, où une seule faille logicielle peut exposer simultanément plusieurs réseaux indépendants. Il met aussi en lumière les arbitrages de la divulgation coordonnée dans les écosystèmes multi-chaînes, où la vitesse de correction doit être mise en balance avec le risque d'alerter de potentiels attaquants. Au 28 août, aucun des fonds volés n'avait été récupéré.