Cosmos Labs przyznało, że podatność, którą wcześniej przeanalizowano i uznano za zażegnaną, została później powiązana z atakiem o wartości 5,7 mln dolarów, który rozprzestrzenił się na sześciu łańcuchach, zamieniając błąd w procesie triażu w incydent bezpieczeństwa obejmujący wiele sieci.

Co według Cosmos Labs poszło nie tak

Zgodnie z raportem po incydencie projektu, podatność stojąca za incydentem została wcześniej oceniona i błędnie uznana za zażegnaną, zanim została wykorzystana. Innymi słowy, wadę zauważono wewnętrznie, ale nie potraktowano jej jako możliwej do wykorzystania.

Ponieważ błąd uznano za zażegnany zamiast go załatać, przed atakiem nie wdrożono żadnej poprawki, a napastnik mógł wykorzystać słabość, o której zespół wiedział, ale którą zepchnął na dalszy plan. Ujawniona strata osiągnęła 5,7 mln dolarów, jak podał The Block.

Ta awaria jest raczej załamaniem procesu bezpieczeństwa niż problemem produktowym: różnica polega na tym, jak błąd został oceniony podczas przeglądu i jak zachował się po wdrożeniu w produkcyjnym środowisku Cosmos EVM. Błędne oszacowanie dotkliwości podczas triażu to znany tryb awarii w szerszych programach bezpieczeństwa — podatności uznane w przeglądzie za niskiego ryzyka lub nieosiągalne mogą okazać się możliwe do wykorzystania w produkcji, gdy napastnik znajdzie ścieżkę, którą pominięto w ocenie.

Jak atak na sześciu łańcuchach powiększył szkody

Atak nie pozostał ograniczony do jednej sieci. Ponieważ wada znajdowała się we współdzielonym module Cosmos EVM, ta sama podstawowa słabość pojawiła się ponownie na sześciu łańcuchach, które odziedziczyły dotknięty kod — co przekształciło incydent z błędu pojedynczego łańcucha w zdarzenie systemowe.

Ten wzorzec współdzielonej zależności jest tym samym, który wcześniej zmusił Cosmos Labs do wezwania łańcuchów EVM do zatrzymania po tym, jak współdzielony błąd opróżnił trzy sieci, co podkreśla, jak wspólny moduł zamienia jedną możliwą do wykorzystania wadę w powtarzający się wpływ na każdy łańcuch, który go uruchamia.

Dla wzajemnie połączonych DeFi opartych na Cosmos eksploatacyjna powierzchnia rośnie wraz z ponownym użyciem kodu: każdy łańcuch importujący podatny moduł stał się celem, mnożąc zarówno straty w dolarach, jak i działania naprawcze w zespołach, które same nigdy nie napisały wadliwego kodu. To ryzyko zarażenia ze strony współdzielonych zależności jest jednym z powodów, dla których mechanizmy koordynacji w skali ekosystemu — skoordynowane ujawnienia, wspólne komunikaty bezpieczeństwa oraz możliwość szybkiego wdrażania poprawek lub zatrzymywania łańcuchów — stały się standardową praktyką w środowiskach wielołańcuchowych opartych na wspólnych bazach kodu.

Co incydent oznacza dla audytów, działań naprawczych i ryzyka użytkowników

Jedna z dotkniętych sieci, MANTRA, zatrzymała swój łańcuch i opublikowała pełny raport po incydencie opisujący podjęte działania, zgodnie z własnym ujawnieniem. Odbija to awaryjne zatrzymanie, którego MANTRA dokonała wcześniej, wstrzymując się po problemie z modułem Cosmos EVM.

Kluczowe niezadane pytanie brzmi, dlaczego wewnętrznie zidentyfikowany błąd zdegradowano do statusu zażegnanego oraz jakie zmiany w procesie przeglądu i monitoringu Cosmos Labs pozwoliłyby wychwycić podobną błędną klasyfikację przed wdrożeniem, a nie po przemieszczeniu się środków. Warto obserwować, czy zmiany procesowe z raportu — oraz ewentualne kolejne łatki na dotkniętych łańcuchach — zostaną przyjęte wystarczająco szybko, aby przywrócić zaufanie do bezpieczeństwa współdzielonych modułów, oraz czy integratorzy ponownie przejrzą własne zależności od dotkniętego kodu.

Dla integratorów i użytkowników praktyczne ryzyko polega na tym, że zaliczenie audytu nie jest tożsame z bezpieczeństwem w świecie rzeczywistym: łańcuchy zależne od współdzielonych modułów dziedziczą zarówno kod, jak i jego niezałatane ryzyko, dlatego monitoring i zdolność do szybkiego zatrzymania mają taką samą wagę jak przegląd przed uruchomieniem, który przegapił tę wadę.