Cosmos Labsは、Cosmos EVMの重大な脆弱性を誤って評価していたことを認めました。攻撃者はその後この脆弱性を悪用し、8月20日から8月25日にかけて6つのブロックチェーンネットワークで約570万ドルを盗みました。

この欠陥は、CosmosベースのネットワークがEthereum互換アプリケーションを実行できるようにする共有ソフトウェアに存在していました。研究者が4月25日にCosmos Labsのバグ報奨金プログラムを通じて脆弱性を最初に報告しました。しかし、テスト担当者は本番ネットワークで使用されている構成ではこのエクスプロイトを再現できませんでした。

その結果、Cosmos Labsはこの問題を比較的低リスクの脆弱性に分類し、チェーン運営者に個別に警告するのではなく、サイレントパッチプロセスを通じて対応しました。この決定により、多くのチェーン運営者は攻撃がすでに始まった後に初めて欠陥の深刻さを知ることになりました。

脆弱性が重大なセキュリティ脅威へ

この脆弱性は、トークン残高を操作できる整数アンダーフローによるものでした。攻撃者は、ウォレットに莫大な残高があるように見せかけ、その偽装された金額を使って標的のアカウントからトークンを流出させることができました。

Cosmos Labsはその後、この欠陥がより広範なCosmos EVMネットワークに影響を及ぼすことを突き止めました。パッチは8月19日に公開されましたが、最初の攻撃は約20時間後に発生しました。これは、独立した運営者間で調整しながらアップグレードのレビューと展開を行う必要があるバリデータにとって、極めて短い猶予期間でした。

MANTRAは約360万ドルという、公表された中で最大の損失を被りました。TACは約30億トークン、KiiChainは約1億4800万KIIを失いました。

攻撃者は分散型取引所で約287万ドルを換金し、さらに285万ドルが中央集権型取引所を経由して移動しました。攻撃者に紐づく中央集権型取引所のアカウントは、調査完了まで凍結されています。

パッチ公開の時期に批判

この事件は、影響を受けたブロックチェーン運営者からの批判を招きました。MANTRAは、パッチが攻撃のわずか20時間前に公開されただけでなく、脆弱性を明確に特定したものでもなかったと主張しています。

KiiChainも、Cosmos Labsは影響を受けたネットワークに対し直ちに停止するよう指示すべきだったと批判しました。同チェーンによれば、シャットダウンは数分で実行できた一方、バリデータ全体でセキュリティアップグレードをレビューし展開するには数日を要する可能性があります。

Cosmos Labsは、対応中に40のチェーンと調整し、攻撃者が到達する前に13のネットワークのパッチ適用または停止を支援したと述べています。同社はまた、これまで未登録だった11のCosmos EVMデプロイを発見しました。これらのデプロイの運営者には、セキュリティ通知を受け取る直接的な窓口が存在しませんでした。

この事件は、単一のソフトウェア欠陥が複数の独立したネットワークを同時に危険にさらしうる、共有型ブロックチェーンインフラのセキュリティ上の課題を浮き彫りにしています。また、マルチチェーンエコシステムにおける協調的開示のトレードオフ、すなわちパッチ適用の迅速さと攻撃者への警告の回避とのバランスの難しさも示しています。8月28日時点で、盗難資金は一切回収されていません。