Cosmos Labs ha riconosciuto di aver valutato in modo errato una vulnerabilità critica in Cosmos EVM che gli attaccanti hanno successivamente sfruttato su sei reti blockchain, sottraendo circa 5,7 milioni di dollari tra il 20 e il 25 agosto.

La falla risiedeva in un software condiviso che consente alle reti basate su Cosmos di eseguire applicazioni compatibili con Ethereum. Un ricercatore ha segnalato per la prima volta la vulnerabilità tramite il bug bounty program di Cosmos Labs il 25 aprile. Tuttavia, i tester non sono riusciti a riprodurre l'exploit sulle configurazioni utilizzate dalle reti in produzione.

Di conseguenza, Cosmos Labs ha classificato il problema come una vulnerabilità a rischio inferiore e lo ha gestito attraverso il proprio processo di patch silenziosa anziché avvisare privatamente gli operatori delle chain. Questa decisione ha comportato che molti operatori abbiano appreso la gravità della falla solo dopo l'inizio degli attacchi.

La vulnerabilità è diventata una grave minaccia per la sicurezza

La vulnerabilità coinvolgeva un integer underflow che poteva essere utilizzato per manipolare i saldi dei token. Gli attaccanti sono riusciti a far apparire un wallet con un saldo enorme e poi a utilizzare tale importo gonfiato per drenare token dagli account presi di mira.

In seguito Cosmos Labs ha stabilito che la falla interessava più ampiamente le reti Cosmos EVM. Una patch è stata rilasciata il 19 agosto, ma il primo attacco si è verificato circa 20 ore dopo — una finestra ristretta per i validatori, che devono coordinarsi tra operatori indipendenti per esaminare e distribuire gli aggiornamenti.

MANTRA ha subìto la perdita dichiarata più grande, pari a circa 3,6 milioni di dollari. TAC ha perso quasi 3 miliardi di token, mentre KiiChain ha perso circa 148 milioni di KII.

Gli attaccanti hanno scambiato circa 2,87 milioni di dollari tramite exchange decentralizzati, mentre altri 2,85 milioni di dollari sono transitati attraverso exchange centralizzati. Gli account su exchange centralizzati collegati agli attaccanti sono stati congelati in attesa dell'indagine.

I tempi della patch suscitano critiche

L'incidente ha suscitato critiche da parte degli operatori blockchain colpiti. MANTRA ha affermato che la patch è arrivata solo 20 ore prima dell'attacco e non identificava chiaramente la vulnerabilità.

KiiChain ha sostenuto che Cosmos Labs avrebbe dovuto invitare immediatamente le reti colpite a fermarsi. La chain ha osservato che uno shutdown avrebbe potuto essere effettuato in pochi minuti, mentre la revisione e il deployment di un aggiornamento di sicurezza sui validatori potrebbero richiedere giorni.

Cosmos Labs ha dichiarato di aver coordinato 40 chain durante la risposta e di aver aiutato 13 reti a fare patch o a fermarsi prima che gli attaccanti le raggiungessero. L'azienda ha inoltre scoperto 11 deployment Cosmos EVM precedentemente non registrati — deployment i cui operatori non avevano un canale diretto per ricevere notifiche di sicurezza.

L'incidente evidenzia le sfide di sicurezza dell'infrastruttura blockchain condivisa, in cui una singola falla software può esporre simultaneamente più reti indipendenti. Mette anche in luce i compromessi della divulgazione coordinata negli ecosistemi multi-chain, dove la velocità di patching deve essere bilanciata con il rischio di allertare potenziali attaccanti. Al 28 agosto, nessuno dei fondi rubati era stato recuperato.