Cosmos Labs przyznało, że nieprawidłowo oceniło krytyczną podatność w Cosmos EVM, którą atacjący następnie wykorzystali na sześciu sieciach blockchain, kradnąc około 5,7 mln USD między 20 a 25 sierpnia.

Luka znajdowała się we współdzielonym oprogramowaniu umożliwiającym sieciom opartym na Cosmos uruchamianie aplikacji kompatybilnych z Ethereum. Badacz po raz pierwszy zgłosił podatność przez program bug bounty Cosmos Labs 25 kwietnia. Testerzy nie byli jednak w stanie odtworzyć exploitacji na konfiguracjach używanych przez działające sieci.

W rezultacie Cosmos Labs sklasyfikowało problem jako podatność o niższym ryzyku i zajęło się nim w ramach procesu cichej łatki, zamiast prywatnie ostrzegać operatorów sieci. Ta decyzja oznaczała, że wielu operatorów dowiedziało się o skali luki dopiero po rozpoczęciu ataków.

Podatność stała się poważnym zagrożeniem bezpieczeństwa

Podatność dotyczyła błędu integer underflow, który można było wykorzystać do manipulacji saldami tokenów. Atacjący byli w stanie sprawić, by portfel wydawał się posiadać ogromne saldo, a następnie wykorzystać tę zawyżoną kwotę do wypompowania tokenów z celem zaatakowanych kont.

Cosmos Labs później ustaliło, że luka dotyczyła szerszego grona sieci Cosmos EVM. Łatka została wydana 19 sierpnia, ale pierwszy atak nastąpił około 20 godzin później — to wąskie okno czasowe dla walidatorów, którzy muszą koordynować się między niezależnymi operatorami, aby przejrzeć i wdrożyć aktualizacje.

MANTRA poniosła największą ujawnioną stratę, około 3,6 mln USD. TAC straciło prawie 3 miliardy tokenów, a KiiChain około 148 mln KII.

Atacjący wymienili około 2,87 mln USD na zdecentralizowanych giełdach, a kolejne 2,85 mln USD przepłynęło przez giełdy scentralizowane. Konta na giełdach scentralizowanych powiązane z atakującymi zostały zamrożone do czasu zakończenia śledztwa.

Krytyka czasu wydania łatki

Incydent wywołał krytykę ze strony dotkniętych operatorów blockchain. MANTRA oświadczyło, że łatka pojawiła się zaledwie 20 godzin przed atakiem i nie identyfikowała jednoznacznie podatności.

KiiChain argumentowało, że Cosmos Labs powinno było natychmiast poinstruować dotknięte sieci o wstrzymaniu działania. Sieć wskazała, że zamknięcie mogło zostać przeprowadzone w ciągu minut, podczas gdy przegląd i wdrożenie aktualizacji bezpieczeństwa przez walidatorów może zająć dni.

Cosmos Labs oświadczyło, że podczas reagowania koordynowało działania z 40 sieciami i pomogło 13 sieciom załatać system lub wstrzymać działanie, zanim dotarli do nich atacjący. Firma odkryła również 11 wcześniej niezarejestrowanych wdrożeń Cosmos EVM — wdrożeń, których operatorzy nie mieli bezpośredniego kanału otrzymywania powiadomień bezpieczeństwa.

Incydent podkreśla wyzwania bezpieczeństwa związane ze współdzieloną infrastrukturą blockchain, w której jedna luka w oprogramowaniu może jednocześnie zagrozić wielu niezależnym sieciom. Pokazuje też kompromisy skoordynowanego ujawniania informacji w ekosystemach multi-chain, gdzie szybkość łatania musi być równoważona z ryzykiem ostrzegania potencjalnych atakujących. Według stanu na 28 sierpnia nie odzyskano żadnych skradzionych środków.