共有Cosmos EVMソフトウェアの脆弱性により、3つのブロックチェーンネットワークで攻撃が発生し、Cosmos Labsは影響を受けたプロジェクトに対し、ブロック生成を停止してセキュリティ更新を適用するよう促した。この事案は、広く再利用されるインフラのリスクを示しており、共通のソフトウェアコンポーネントの弱点が複数の独立したネットワークを同じ脅威にさらす可能性がある。

影響を受けたネットワークはMantra、TAC、KiiChainで、8月20日から8月22日にかけて標的となった。Mantraはソフトウェアの更新版を導入した後に運用を再開した一方、TACとKiiChainは、各チームが脆弱性の評価と必要な保護措置の実施を進める間、停止状態が続いている。

Cosmos EVMは、Cosmos SDK上で構築されたブロックチェーンがEthereum互換のスマートコントラクトをサポートできるようにするオープンソースのモジュールである。同じソフトウェアが複数のネットワークに組み込まれ得るため、モジュールの欠陥は、特に共通コードを利用しつつ独立して運用されるプロジェクトにとって、より広範なエコシステムレベルのセキュリティリスクを生む可能性がある。

Cosmos Labsは、Cosmos EVMの0.6.2または0.7.2より前のバージョンを実行しているネットワークに対し、直ちにブロック生成を停止し、推奨パッチをインストールするよう助言した。同社は、どれだけ多くのネットワークがこの脆弱性の影響を受け得るかについては明らかにしていない。

KiiChain、1億4800万トークンの損失を報告

KiiChainは、攻撃の最も詳細な説明を提示した。同ネットワークによると、攻撃者は異なるウォレットを使った18件の পৃথ পৃথ transaction ಮೂಲಕ、約1億4800万KIIトークンを引き出した。

KiiChainがネットワークを停止した後、約8070万KIIが凍結された。さらに6760万KIIがHyperlaneを通じてBNB Smart Chainへ移動された。このうち約6460万トークンは分散型取引所で約161万ドル相当で売却され、300万KIIはKuCoinの入金アドレスに送られた。

TACも、流通供給量の約62%に相当する約29億9000万TACトークンに関する不審な移動を報告した。その後、同ネットワークは調査のためブロック生成を停止した。

Mantraは、攻撃は同社が管理する2つのウォレットに限定されており、顧客、取引所、パートナーの資金には影響しなかったと述べた。その後、同ネットワークはパッチ適用済みソフトウェア版へ移行し、運用を再開した。

脆弱性は共有Cosmos EVMコードに関連

KiiChainは、根本原因は自社固有のブロックチェーンコードではなくCosmos EVMにあったと説明した。この悪用は、staking precompilationとEVM残高に関わるオーバーフロー問題を含む、3つの個別の欠陥を組み合わせたものだったという。

この脆弱性により、攻撃者はネットワーク全体のトークン供給量を増やすことなく、標的ウォレットから実際の資金を引き出せる形でアカウントの挙動を操作できた。

KiiChainの説明によると、攻撃者はまずあらかじめ決められたアドレスにコントラクトを作成し、その後それをvesting accountに変換した。さらに、利用可能残高より1 wei多く委任したことで内部値が誤り、その結果、実際の資金の引き出しが可能になったという。

Mantraの開発者も別途、この事案はブロックチェーンで使用されていた上流依存関係の弱点に関わるものだったと示唆したが、追加の技術的詳細は示さなかった。

KiiChainはまた、根本的なバグが公開の場で十分に対処されていない可能性があると懸念を表明した。そのため、単一のCosmos Labsアップデートを適用しただけでは、セキュリティリスクを完全には取り除けない可能性があると指摘した。

खुल示プロセスに批判

今回の事案は、Cosmos Labsの脆弱性開示プロセスにも批判を呼んだ。同社は8月19日にパッチを公開リポジトリへ配置した。KiiChainは、影響を受けたネットワークに事前通知はなく、当初その公開が重大なセキュリティ更新として認識されていなかったと述べた。

「0.6.2および0.7.2より前のCosmos EVMバージョンを使用するパブリックチェーンを運用している場合は、直ちにブロックチェーンを停止し、それらのリリースに含まれるパッチを適用するよう強く推奨します。Cosmos EVMを使用しており、まだ私たちにあなたのセキュリティ…」 — Cosmos Labs (@cosmoslabs_io) August 25, 2026

警告は2日後に出されたとされ、ブロックチェーン開発者は、公開後に急いでバリデーターを更新するか、潜在的に脆弱なネットワークを運用し続けるかという難しい選択を迫られた。

KiiChainは、この遅れが、影響を受けたプロジェクトが対応する前に攻撃者が脆弱性を悪用する機会を生んだ可能性があると主張した。

"" — KiiChain (@KiiChainio) August 24, 2026

2026年で2件目の大規模Cosmos EVMセキュリティ事案

今回の攻撃は、今年初めに発生した別の大規模なCosmos EVM関連のセキュリティ事案に続くものだ。1月には、別コンポーネントの脆弱性がSaga EVMに対して悪用され、損失は約700万ドルと見積もられた。

その後、Cosmos Labsは、影響を受けたコードは2024年7月にメインブランチへ統合され、15のブロックチェーンで稼働していたが、6つのネットワークでは機能が無効化されていたと説明した。1つのネットワークは、他のプロジェクトが保護措置を講じる前に侵害された。恒久的な修正は3月にバージョン0.6.0でリリースされ、Mantraはパッチのテスト支援に貢献したチームの1つとして挙げられた。

今回の事案は、共有インフラの開発者とブロックチェーン運営者の間で、より強固な連携が必要であることを示している。特に、重大な脆弱性が同時に複数のネットワークへ影響し得る場合、その重要性は増す。

今回の攻撃は、デジタル資産インフラが直面する脅威の高度化と拡張性への懸念が高まる中で発生した。Wyoming Blockchain Symposiumの参加者は以前、AIエージェントが仮想通貨プロジェクトや利用者を標的とする攻撃のコストを下げ、規模を拡大させる可能性について議論していた。