Cosmos Labs ha riconosciuto che una vulnerabilità precedentemente esaminata e dichiarata risolta è stata in seguito collegata a un exploit da 5,7 milioni di dollari che si è propagato su sei chain, trasformando un errore di valutazione in un incidente di sicurezza multi-rete.

Cosa è andato storto secondo Cosmos Labs

Secondo il post-mortem del progetto, la vulnerabilità alla base dell'incidente era stata valutata ed erroneamente dichiarata risolta prima di essere sfruttata. In altre parole, il difetto era stato segnalato internamente, ma non era stato considerato sfruttabile.

Poiché il bug era stato dichiarato risolto anziché corretto, nessuna fix è stata rilasciata prima dell'exploit e l'attaccante ha potuto agire su una debolezza che il team conosceva già ma che aveva declassato in termini di priorità. La perdita dichiarata ha raggiunto i 5,7 milioni di dollari, come riportato da The Block.

Il fallimento rappresenta un guasto del processo di sicurezza piuttosto che un problema di prodotto: il divario sta tra come il bug è stato classificato durante la revisione e come si è comportato una volta distribuito in un ambiente Cosmos EVM reale. La valutazione errata della gravità durante il triage è una modalità di fallimento riconosciuta nei programmi di sicurezza in generale, dove vulnerabilità giudicate a basso rischio o irraggiungibili in fase di revisione possono rivelarsi sfruttabili in produzione quando un attaccante trova un percorso che la valutazione aveva trascurato.

Come l'hack su sei chain ha amplificato i danni

L'exploit non è rimasto confinato a una singola rete. Poiché il difetto risiedeva in un modulo condiviso di Cosmos EVM, la stessa debolezza sottostante è riapparsa su sei chain che avevano ereditato il codice interessato — il che ha trasformato l'incidente da bug su una singola chain a evento sistemico.

Questo modello di dipendenza condivisa è lo stesso che in precedenza aveva spinto Cosmos Labs a invitare le chain EVM a fermarsi dopo che un bug condiviso aveva svuotato tre reti, sottolineando come un modulo comune trasformi un singolo difetto sfruttabile in un impatto ripetuto su ogni chain che lo esegue.

Per il DeFi interconnesso basato su Cosmos, la superficie di attacco cresce con il riutilizzo del codice: ogni chain che importava il modulo vulnerabile è diventata un bersaglio, moltiplicando sia le perdite in dollari sia le operazioni di pulizia per team che non avevano mai scritto personalmente il codice difettoso. Questo rischio di contagio derivante dalle dipendenze condivise è uno dei motivi per cui i meccanismi di coordinamento a livello di ecosistema — disclosure coordinate, advisory di sicurezza condivise e la capacità di distribuire rapidamente patch o fermare le chain — sono diventati prassi standard negli ambienti multi-chain costruiti su basi di codice comuni.

Cosa significa l'incidente per audit, rimedi e rischio per gli utenti

Una delle reti colpite, MANTRA, ha fermato la propria chain e ha pubblicato un post-mortem completo dell'incidente che dettaglia la risposta, secondo la propria disclosure. Ciò ricalca l'arresto di emergenza che MANTRA aveva utilizzato quando si era fermata in seguito al problema del modulo Cosmos EVM.

La questione centrale ancora irrisolta è perché un bug identificato internamente sia stato declassato a risolto, e quali modifiche ai processi di revisione e monitoraggio di Cosmos Labs potrebbero intercettare una simile errata classificazione prima del deployment anziché dopo lo spostamento dei fondi. Il punto da osservare in seguito è se le modifiche di processo del post-mortem — ed eventuali patch successive sulle chain interessate — vengano adottate abbastanza rapidamente da ripristinare la fiducia nella sicurezza dei moduli condivisi, e se gli integratori rivedano le proprie dipendenze dal codice interessato.

Per integratori e utenti, il rischio pratico è che un'esito positivo di audit non equivale alla sicurezza nel mondo reale: le chain che dipendono da moduli condivisi ereditano sia il codice sia il suo rischio non corretto, quindi il monitoraggio e la capacità di arresto rapido contano tanto quanto la revisione pre-lancio che aveva trascurato il difetto.