Уязвимость Cosmos EVM и атаки злоумышленников
Cosmos Labs сообщила, что злоумышленники использовали критическую уязвимость Cosmos EVM на шести блокчейн-сетях с 20 по 25 августа, конвертировав украденные токены в активы на сумму около 5,72 миллиона долларов через децентрализованные и централизованные биржи.
История уязвимости
В техническом отчете, опубликованном в пятницу, Cosmos Labs отметила, что ошибка была впервые зафиксирована в рамках программы по поиску уязвимостей 25 апреля, почти за четыре месяца до начала атак. Тестировщики не смогли воспроизвести эксплойт на конфигурациях, используемых известными производственными сетями Cosmos EVM, и пришли к выводу, что средства пользователей не находятся под угрозой.
Основываясь на этой оценке, разработчики обработали уязвимость через тихое публичное исправление, вместо того чтобы приватно распространять исправление безопасности для затронутых цепей. Cosmos Labs объединила исправление в мае, не сообщив операторам сети, какую уязвимость оно устраняло.
Первая атака и механизм эксплойта
Первая известная атака началась в 15:06 по восточному времени 20 августа, примерно через 20 часов после того, как исправленное программное обеспечение стало доступно. Уязвимость связана с переполнением целого числа в Cosmos EVM, экосистеме, совместимой с Ethereum, построенной на основе открытого кода Evmos.
Злоумышленник мог сначала создать аккаунт с заблокированными токенами и делегировать больше токенов валидатору, чем аккаунт мог потратить.
Затем злоумышленник мог использовать увеличенный баланс против другого аккаунта, что приводило к переполнению и возвращению значения обратно вниз, оставляя злоумышленника с токенами цели.
Реакция Cosmos Labs и последствия
Cosmos Labs классифицировала ошибку как критическую и определила версии Cosmos EVM до v0.6.2 и v0.7.2 как уязвимые. Инцидент произошел после другого раскрытия безопасности, связанного с программным обеспечением Cosmos в начале этого года.
MANTRA сообщила, что эксплойт изменил ее предложение всего на одну базовую единицу, наименьшую делимую единицу токена. Cosmos Labs сообщила, что злоумышленники нацеливались на аккаунты с большими балансами, включая адреса сжигания и мультиподписные кошельки.
«Двадцать часов не было реалистичным временным окном для оценки, сборки, тестирования и координации обновления, нарушающего состояние, среди 38 независимых валидаторов, особенно без уведомления, специфичного для уязвимости,» — написала MANTRA в своем отчете.
Дополнительные атаки и последствия для других сетей
Атака оставалась незамеченной почти четыре часа, давая злоумышленнику время для опустошения неактивного мультисиг-кошелька. MANTRA остановила сеть в 19:13 по восточному времени 20 августа. Около 38 миллионов украденных MANTRA оставались замороженными в кошельке злоумышленника.
Cosmos Labs оценивает, что около 54% украденных KII остается восстанавливаемыми в цепи, если сеть будет восстановлена. KiiChain раскритиковал, как уязвимость была сообщена downstream-сетям, заявив, что Cosmos Labs не предоставила предварительное уведомление.
Заключение
Cosmos Labs заявила, что она координировала действия с 40 сетями во время своего ответа и работала с 13 другими, чтобы исправить уязвимость или остановиться до того, как они были атакованы. MANTRA приобретается существующим инвестором Inveniam Capital Partners, который сделал стратегическую инвестицию в проект в размере 20 миллионов долларов в августе 2025 года.
