Cosmos Labs instó a las cadenas EVM de Cosmos afectadas a solicitar paralizaciones de validadores el 25 de agosto, mientras sus equipos de seguridad e ingeniería respondían a un incidente que ya había afectado a múltiples redes.
La compañía no identificó la vulnerabilidad subyacente, las cadenas afectadas ni las pérdidas totales en su declaración inicial. Afirmó que los usuarios del módulo Cosmos EVM habían sido afectados y prometió un informe del incidente una vez resuelta la situación.
Divulgaciones separadas de MANTRA, TAC y KiiChain vinculan ataques recientes a la pila de software de Cosmos EVM. Sin embargo, Cosmos Labs no ha confirmado públicamente que estos incidentes compartan una vulnerabilidad exacta o nombrado todas las cadenas a las que se les pidió detenerse.
Cosmos EVM es una pila de software compartida que permite a las cadenas SDK de Cosmos ejecutar contratos inteligentes compatibles con Ethereum. Una vulnerabilidad en un módulo común puede, por lo tanto, exponer redes independientes que ejecutan versiones o configuraciones afectadas.
Cosmos Labs dijo que sus equipos estaban "respondiendo proactivamente" y habían contactado a las cadenas que usan el módulo. Pidió a esos equipos que coordinaran con los validadores, quienes deben detener colectivamente la producción de bloques en redes de prueba de participación descentralizadas.
Una detención evita que se liquiden nuevas transacciones mientras los desarrolladores investigan y distribuyen una solución. También bloquea temporalmente transferencias, aplicaciones y retiros regulares que dependen de la cadena afectada.
Cosmos Labs dirigió a otros equipos de Cosmos EVM con preguntas a su correo electrónico de seguridad. No publicó una versión de software, instrucciones de mitigación o un cronograma de reinicio, probablemente para evitar revelar detalles explotables antes de que las cadenas estén protegidas.
KiiChain dijo que un atacante drenó 148,326,583.15 KII de billeteras el 22 de agosto. Su informe de incidente indicó que el atacante repitió la técnica 18 veces antes de que los validadores detuvieran la red en el bloque 9,355,723.
El equipo vinculó el ataque a una vulnerabilidad de Cosmos EVM que involucra cuentas de vesting, operaciones de staking y manejo de saldos. KiiChain dijo que el atacante transfirió parte de los activos a BNB Smart Chain a través de Hyperlane. El equipo no identificó a Hyperlane como el componente vulnerable.
TAC informó por separado que un atacante explotó una debilidad en la capa de precompilación de Cosmos EVM el 22 de agosto y drenó una cuenta. Los validadores detuvieron TAC en el bloque 24,671, según su actualización oficial.
Las divulgaciones de los proyectos establecen que ambas redes sufrieron movimientos de activos no autorizados. Cosmos Labs aún no ha publicado un cálculo de pérdidas agregadas ni ha confirmado si el mismo atacante controló todas las direcciones involucradas.
MANTRA detuvo su red el 20 de agosto después de detectar actividad que involucraba dos billeteras gestionadas por el proyecto. El equipo aisló el incidente en su módulo Cosmos EVM y desplegó una versión actualizada antes de coordinar el reinicio de un validador.
Como se informó anteriormente, MANTRA reanudó la producción de bloques después de una detención de aproximadamente 30 horas. Se reinició a partir de una instantánea en el bloque 17,449,398 sin revertir el estado registrado de la cadena.
MANTRA declaró que "no se vieron afectados los fondos de los usuarios", pero su informe post-mortem completo y la contabilidad detallada de los activos siguen sin publicarse.
El equipo dijo que los saldos no habían cambiado y que las dos direcciones afectadas pertenecían a su infraestructura interna de billeteras. Esa declaración no establece si los activos controlados por el proyecto se movieron ni cuantifica los intentos de retiro.
Los incidentes siguen a un fallo anterior de Cosmos EVM que involucraba la precompilación ICS20. Un aviso de seguridad de marzo indicó que el manejo incorrecto del estado durante la ejecución anidada permitía que el mismo saldo de token se usara repetidamente dentro de una transacción.
Ese problema anterior causó una pérdida estimada de 7 millones de dólares en SagaEVM en enero. En cobertura relacionada, SagaEVM fue pausada después de que los activos puenteados fueran comprometidos. Sigue sin confirmarse si los ataques de agosto utilizaron ese mismo fallo, una ruta de ejecución relacionada o una vulnerabilidad separada.
Las prioridades inmediatas son identificar cada implementación vulnerable, distribuir un parche probado y confirmar que las cadenas afectadas pueden reiniciarse de forma segura. Los validadores necesitarán instrucciones de actualización coordinadas antes de reanudar la producción de bloques.
El informe prometido por Cosmos Labs debería identificar el componente defectuoso, las versiones afectadas, el cronograma de explotación y las pérdidas totales. También debería explicar si MANTRA, TAC y KiiChain fueron comprometidos a través de la misma ruta de código.
Hasta que aparezca ese informe, otros equipos que utilizan Cosmos EVM pueden mantener las redes detenidas o deshabilitar la funcionalidad afectada. Los usuarios deben confiar en las páginas oficiales de estado de la cadena y evitar transacciones a través de interfaces no verificadas o supuestas herramientas de recuperación.
