Atakujący wykorzystał lukę w Cosmos EVM, aby stworzyć i przenieść przez most tokeny NES o wartości około 50 mln USD w sieci Nesa Chain, jednak załamanie płynności ograniczyło szacowany zysk netto operacji do około 60 000 USD podczas sprzedaży.

Incydent uwypuklił również słabości, na jakie narażone są inne sieci zbudowane na tej samej architekturze. Cosmos EVM umożliwia korzystanie ze smart kontraktów zgodnych z Ethereum w łańcuchach tworzonych za pomocą Cosmos SDK.

Dlaczego exploit Cosmos EVM przyniósł tylko 60 000 USD?

Atak rozpoczął się, gdy portfel 0x9AE7 kupił około 250 000 USD w tokenach NES i przeniósł je do sieci Nesa Chain. Platforma analityczna Bubblemaps ustaliła, że pierwotne finansowanie tego portfela pochodziło z Monero.

JUST IN: A Cosmos EVM vulnerability was exploited to mint and bridge roughly $50M worth of NES from Nesa Chain, but the attacker reportedly made only around $60K due to extreme slippage and liquidity withdrawals. pic.twitter.com/DU2txNRBRB

— EyeWhales (@EyeWhales) August 27, 2026

Następnie atakujący wykorzystał lukę, aby pomnożyć saldo tokenów NES 200-krotnie, po czym przeniósł tokeny o wartości 50 mln USD do Ethereum. Tokeny zostały następnie rozdzielone między osiem portfeli.

Atakujący wymieniał NES na ETH na zdecentralizowanych giełdach, a potem przekazywał środki na giełdy scentralizowane. W trakcie wymiany płynność jednak wyschła, a atakujący doświadczył znacznego poślizgu cenowego.

Ta różnica odzwierciedla sposób, w jaki automatyczne animatory rynku wyceniają aktywa: pule kwotują tokeny w zależności od głębokości zgromadzonej płynności, dlatego duże zlecenia sprzedaży zbijają ceny w miarę ich realizacji, a papierowa wartość znika, gdy ta głębokość zostaje wycofana. Świeżo wybite saldo jest zatem warte tylko tyle, ile rzeczywiście zapłacą za nie pozostałe pule.

Szacuje się, że operacja kosztowała 255 000 USD, a przyniosła 315 000 USD zysku, co oznacza, że haker zarobił około 60 000 USD, mimo że przez krótki czas kontrolował tokeny o wartości bliskiej 50 mln USD.

Cosmos Labs wzywa dotknięte sieci do wstrzymania działania i aktualizacji

Wydarzenie wywołało szerszą reakcję, ponieważ podatne na atak oprogramowanie Cosmos EVM dotyczy także sieci innych niż Nesa. Cosmos Labs zaleciła pozostałym projektom korzystającym z narażonej wersji wstrzymanie swoich łańcuchów i przeprowadzenie wymaganych aktualizacji.

Według KiiChain atakujący powtórzył ten sam proces 18 razy i ukradł 148 326 583,15 KII, zanim walidatorzy zatrzymali sieć. Łańcuch TAC również wstrzymał swoją działalność po przejęciu jednego z jego kont.

Wstrzymanie produkcji bloków to standardowy środek awaryjny w sieciach opartych na Cosmos SDK, gdzie skoordynowana większość walidatorów może zatrzymać przetwarzanie transakcji na czas przygotowania poprawki — dokładnie taką odpowiedź przeprowadzili ostatecznie walidatorzy KiiChain oraz TAC.

Incydenty te pokazują, jak współdzielony kod sprawia, że jeden problem bezpieczeństwa może objąć kilka ekosystemów. Straty z takich ataków różnią się w zależności od lokalnej płynności tokenów, dostępności mostów, płynności na giełdach oraz szybkości reakcji walidatorów.

Dlaczego szczegóły ataku na Cosmos EVM pozostają niejasne

Atak miał miejsce w okresie nasilenia cyberataków wymierzonych w kryptowaluty. W lipcu giełdy kryptowalut poniosły straty o wartości 247,4 mln USD, a mosty okazały się popularnym celem. W innym niedawnym incydencie tokeny SAND zostały wybite bez autoryzacji za pośrednictwem mostów międzyłańcuchowych.

#PeckShieldAlert Seems like The @TheSandboxGame ( $SAND ) got exploited. 14.9B $SAND minted across 2 addresses: 0xAbE0…4D22 & 0x638C…F296 pic.twitter.com/a5Jgym87gR

— PeckShieldAlert (@PeckShieldAlert) August 22, 2026

W marcu komunikat bezpieczeństwa opisywał krytyczny problem dotyczący zarządzania stanem. Luka ta umożliwiała ponowne wykorzystanie sald tokenów podczas wykonywania transakcji EVM i została naprawiona poprzez wdrożenie wersji 0.6.0 oprogramowania.

Związek między tamtą wcześniejszą luką a obecnym atakiem na Cosmos EVM nie został jeszcze zweryfikowany, a liczba dotkniętych sieci pozostaje nieznana. Odpowiedzi na te pytania spodziewane są dopiero po opublikowaniu szczegółowego raportu technicznego. Środki przechodzące przez scentralizowane giełdy są zazwyczaj łatwiejsze do prześledzenia niż wymiany on-chain i mogą zostać zamrożone na poziomie platformy, dlatego to właśnie przepływy zysków na giełdy CEX stanowią często główny obszar działań po incydencie.

Źródło: Tron Weekly