Cosmos Labsは、以前にレビューしてクリア済みとしていた脆弱性が、その後6つのチェーンにまたがる570万ドルの攻撃と関連していたことを認め、トリアージのミスが複数ネットワークにまたがるセキュリティインシデントへと発展した。

Cosmos Labsが語る失敗の経緯

プロジェクトの事後検証報告によれば、このインシデントの背後にあった脆弱性は、悪用される前に評価され、誤ってクリア済みと判断されていた。つまり、この欠陥は社内で指摘されていたものの、悪用可能なものとしては扱われていなかった。

バグはパッチ適用ではなくクリアという扱いだったため、攻撃の前に修正プログラムは提供されず、攻撃者はチームが把握していながら優先度を下げていた弱点を突くことができた。公表された損失額は570万ドルに達したとThe Blockが報じている。

今回の失敗は製品の問題ではなく、セキュリティプロセスの崩壊である。そのギャップは、レビュー時にバグがどう評価されたかと、実際のCosmos EVM環境にデプロイされた後の挙動との間に存在する。トリアージで深刻度を誤判断することは、セキュリティプログラム全般で知られる失敗パターンであり、レビュー時に低リスクまたは到達不能と判断された脆弱性が、評価が見落とした攻撃経路を見つけた攻撃者によって本番環境で悪用可能であることが判明するケースがあり得る。

6チェーン攻撃が被害を拡大させた仕組み

この攻撃は単一のネットワークにとどまらなかった。欠陥が共有されるCosmos EVMモジュールに存在していたため、同じ根本的弱点が、影響を受けたコードを継承した6つのチェーンで再現され、単一チェーンのバグからシステム全体の事件へと格上げされた。

この共有依存関係のパターンは、以前、共有バグによって3つのネットワークが資金を流出させた際にCosmos LabsがEVMチェーンに停止を呼びかけた事例と同じものであり、共通モジュールが1つの悪用可能な欠陥を、それを実行するすべてのチェーンに繰り返し影響を与える状況に変えることを裏付けている。

相互接続されたCosmos系DeFiにとって、攻撃対象領域はコード再利用に比例して拡大する。脆弱なモジュールを取り込んだすべてのチェーンが標的となり、欠陥のあるコードを自ら書いたことのないチームの間でも、金銭的損失も運用上の対応作業も増幅された。このような共有依存関係による伝染リスクは、調整済みの開示、共通のセキュリティ勧告、迅速なパッチ配信やチェーン停止の能力といったエコシステム全体の連携メカニズムが、共通コードベース上に構築されたマルチチェーン環境では標準的な慣行となっている理由の一つである。

監査、 remediation（修復）、ユーザーリスクへの意味

被害を受けたネットワークの一つであるMANTRAは、自らの公表資料によれば、チェーンを停止し、対応の詳細を記した完全なインシデント事後検証報告を公開した。これはCosmos EVMモジュールの問題後にMANTRAが停止した際の緊急停止と同様の対応である。

未解決の核心的な疑問は、社内で特定されていたバグがなぜクリア済みに格下げされたのか、そしてCosmos Labsのレビューおよび監視プロセスにどのような変更を加えれば、資金が動いた後ではなくデプロイ前に同様の誤分類を検知できるのか、という点である。次に注目すべきは、事後検証で示されたプロセス改善や、影響を受けたチェーンへの追加パッチが、共有モジュールのセキュリティに対する信頼を回復できるだけの速さで採用されるかどうか、そして統合事業者が影響を受けたコードへの依存関係を再検討するかどうかである。

統合事業者とユーザーにとっての現実的なリスクは、監査によるクリア判定が実運用上の安全性と同義ではないということだ。共有モジュールに依存するチェーンはコードとその未修正リスクの両方を継承するため、監視能力と迅速な停止能力は、欠陥を見逃したリリース前レビューと同等に重要である。