Un attaccante ha sfruttato una vulnerabilità in Cosmos EVM per creare e trasferire tramite bridge circa 50 milioni di dollari in token NES attraverso Nesa Chain, ma il collasso della liquidità ha limitato il profitto netto stimato dell'operazione a circa 60.000 dollari durante la fase di vendita.

L'incidente ha inoltre evidenziato le vulnerabilità che devono affrontare le altre reti basate sulla stessa architettura. Cosmos EVM consente di utilizzare smart contract compatibili con Ethereum su chain costruite con il Cosmos SDK.

Come ha fatto l'exploit di Cosmos EVM a fruttare soltanto 60.000 dollari?

L'attacco è iniziato quando il portafoglio 0x9AE7 ha acquistato circa 250.000 dollari di NES e ha trasferito i token su Nesa Chain. La piattaforma di analisi blockchain Bubblemaps ha fatto risalire il finanziamento originario del portafoglio a Monero.

JUST IN: A Cosmos EVM vulnerability was exploited to mint and bridge roughly $50M worth of NES from Nesa Chain, but the attacker reportedly made only around $60K due to extreme slippage and liquidity withdrawals. pic.twitter.com/DU2txNRBRB

— EyeWhales (@EyeWhales) August 27, 2026

L'attaccante ha quindi sfruttato la vulnerabilità per moltiplicare per 200 il saldo dei token NES prima di trasferire 50 milioni di dollari in token su Ethereum. I token sono stati successivamente distribuiti tra otto portafogli.

L'attaccante ha scambiato NES con ETH su exchange decentralizzati e ha poi spostato i fondi verso exchange centralizzati. Tuttavia, la liquidità si è esaurita durante il processo di scambio e l'attaccante è stato esposto a uno slippage significativo.

Questo divario riflette il modo in cui i market maker automatizzati determinano il prezzo degli asset: i pool quotano i token in base alla profondità di liquidità di cui dispongono, quindi i grandi ordini di vendita spingono i prezzi al ribasso man mano che vengono eseguiti e il valore teorico svanisce una volta che tale profondità viene ritirata. Un saldo appena coniato vale pertanto soltanto ciò che i pool rimanenti sono effettivamente disposti a pagare.

Si stima che l'operazione sia costata 255.000 dollari generando 315.000 dollari di guadagni, il che significa che l'hacker ha incassato circa 60.000 dollari pur avendo controllato per breve tempo token per un valore di quasi 50 milioni di dollari.

Cosmos Labs invita le chain colpite a sospendersi e aggiornarsi

L'evento ha innescato una reazione più ampia perché il software vulnerabile di Cosmos EVM riguarda reti al di fuori di Nesa. Cosmos Labs ha consigliato agli altri progetti che utilizzano la versione esposta di sospendere le proprie chain e completare gli aggiornamenti necessari.

Secondo KiiChain, l'attaccante ha ripetuto lo stesso processo 18 volte e ha rubato 148.326.583,15 KII prima che i validatori arrestassero la rete. Anche la chain TAC ha interrotto le proprie operazioni dopo la compromissione di uno dei suoi account.

L'arresto della produzione di blocchi è una misura di emergenza standard sulle reti Cosmos SDK, dove una maggioranza coordinata di validatori può fermare l'elaborazione delle transazioni mentre viene predisposta una correzione — la risposta che i validatori di KiiChain e TAC hanno infine attuato.

Gli incidenti evidenziano come il codice condiviso permetta a un singolo problema di sicurezza di coinvolgere diversi ecosistemi. Le perdite derivanti da attacchi di questo tipo variano a seconda della liquidità locale dei token, della disponibilità dei bridge, della liquidità sugli exchange e della rapidità della risposta dei validatori.

Perché l'exploit di Cosmos EVM resta poco chiaro

L'attacco è avvenuto in un periodo di intensa attività di cyberattacchi contro le criptovalute. A luglio, gli exchange di criptovalute hanno subito perdite per 247,4 milioni di dollari, con i bridge tra i bersagli più frequenti. In un altro incidente recente, token SAND sono stati coniati senza autorizzazione attraverso bridge cross-chain.

#PeckShieldAlert Seems like The @TheSandboxGame ( $SAND ) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR

— PeckShieldAlert (@PeckShieldAlert) August 22, 2026

A marzo, un avviso di sicurezza ha descritto un problema critico riguardante la gestione dello stato. La vulnerabilità avrebbe consentito il riuso dei saldi dei token durante l'esecuzione di transazioni EVM ed è stata corretta tramite il rilascio della versione 0.6.0 del software.

Il legame tra quella precedente vulnerabilità e l'attuale attacco a Cosmos EVM non è stato ancora verificato e resta poco chiaro quante reti siano state colpite. Si prevede che tali quesiti trovino risposta solo con la pubblicazione di un rapporto tecnico dettagliato. I fondi che transitano dagli exchange centralizzati sono in genere più facili da tracciare rispetto agli scambi on-chain e possono essere congelati a livello di piattaforma, motivo per cui il movimento dei proventi verso i CEX è spesso il punto su cui si concentrano gli sforzi di risposta successivi all'incidente.

Fonte: Tron Weekly