Cosmos Labs a appelé les validateurs exploitant des chaînes construites avec son module Cosmos EVM à suspendre leurs opérations réseau après qu'un nouvel incident de sécurité a suscité des inquiétudes dans l'ensemble de l'écosystème. Cet avis intervient alors que plusieurs réseaux basés sur Cosmos ont subi des perturbations et signalé des exploitations liées à la pile logicielle partagée.

Cet avertissement fait suite à une semaine agitée pour les chaînes Cosmos EVM. MANTRA Chain a interrompu son réseau, mettant en pause la production de blocs, après avoir détecté une activité suspecte, avant d'annoncer que l'incident avait été maîtrisé. Selon l'équipe, deux adresses de portefeuille ont été touchées, mais les fonds des utilisateurs n'ont pas été dérobés. MANTRA a ensuite préparé une version logicielle corrigée et s'est coordonnée avec les validateurs avant de reprendre ses opérations.

KiiChain et TAC ont également signalé des incidents de sécurité impliquant des vulnérabilités dans des composants connectés à l'environnement Cosmos EVM. KiiChain a indiqué qu'un attaquant a exploité une faille permettant une manipulation non autorisée des soldes, dérobant environ 148 millions de KII, le jeton natif du réseau, en plusieurs transactions avant le gel de la chaîne.

Les logiciels partagés accroissent les risques à l'échelle de l'écosystème

Cosmos EVM offre une compatibilité avec la machine virtuelle Ethereum aux blockchains basées sur Cosmos, permettant aux développeurs de déployer des contrats intelligents de type Ethereum tout en s'appuyant sur la pile Cosmos. La contrepartie est qu'une vulnérabilité dans un composant partagé peut potentiellement affecter simultanément plusieurs réseaux indépendants.

Ce dernier avertissement fait suite à une vulnérabilité de Cosmos EVM divulguée plus tôt cette année. Cette faille concernait une gestion incorrecte de l'état lors de l'exécution EVM imbriquée et a entraîné des pertes sur Saga EVM. Cosmos Labs a par la suite publié un correctif permanent et coordonné les mises à niveau avec les chaînes concernées.

Le risque lié aux composants partagés s'était déjà manifesté ailleurs dans l'écosystème Cosmos. En octobre 2022, une vulnérabilité critique dans le protocole de communication inter-chaînes IBC a entraîné des mises à niveau d'urgence coordonnées sur plusieurs réseaux basés sur Cosmos, un précédent où la réponse dépendait de l'application simultanée des correctifs par les validateurs afin de contenir l'exposition à l'échelle de l'écosystème.

L'incident actuel fait toujours l'objet d'une enquête, et Cosmos Labs a déclaré qu'il publiera un rapport détaillé une fois la situation maîtrisée. D'ici là, les validateurs font face à l'incertitude quant aux réseaux encore exposés et à la possibilité que d'autres chaînes soient affectées.

Cet épisode illustre le défi de sécurité auquel sont confrontés les écosystèmes de blockchain reposant sur une infrastructure commune. Une seule vulnérabilité peut transformer une exploitation isolée en un incident aux répercussions plus larges pour l'industrie, rendant essentiels la divulgation rapide, les mises à niveau coordonnées et la coopération des validateurs pour limiter les pertes.