Sinabi ng Cosmos Labs sa isang teknikal na post-mortem na inilabas noong Biyernes na ang kapintasan ay unang naiulat sa pamamagitan ng bug bounty program nito noong Abril 25, halos apat na buwan bago nagsimula ang mga pag-atake. Hindi nagawa ng mga tester nito na kopyahin ang exploit laban sa mga configuration na ginamit ng mga kilalang network ng produksyon ng Cosmos EVM at nagtapos noong panahong iyon na ang mga pondo ng aktibong gumagamit ay walang panganib.

Batay sa pagtatasa na iyon, pinamahalaan ng mga developer ang kahinaan sa pamamagitan ng isang tahimik na pampublikong patch sa halip na pribadong ipamahagi ang isang pag-aayos ng seguridad sa mga apektadong chain. Pinagsama ng Cosmos Labs ang pag-aayos noong Mayo nang hindi sinasabi sa mga operator ng network kung anong kahinaan ang tinugunan nito.

Ang pagtatasa ay kalaunan ay napatunayang mali matapos itatag ng mga independiyenteng mananaliksik noong unang bahagi ng Agosto na ang bug ay nakaapekto sa lahat ng Cosmos EVM chain. Pagkatapos ay itinago ng Cosmos Labs ang pag-aayos upang gawing mas mahirap ang reverse engineering at inilabas ang mga na-patch na bersyon noong 7:01 p.m. ET noong Agosto 19.

Ang mga release note ay tumukoy sa "mahahalagang" pag-aayos ng seguridad nang hindi inilalarawan ang kahinaan. Ang unang kilalang pag-atake ay nagsimula noong 3:06 p.m. ET noong Agosto 20, humigit-kumulang 20 oras matapos maging available ang na-patch na software.

Ang kapintasan ng Cosmos EVM ay nagbigay-daan sa mga umaatake na ubusin ang malalaking account

Ang kahinaan ay nagsasangkot ng isang integer underflow sa Cosmos EVM, ang balangkas ng ekosistema na tugma sa Ethereum na binuo mula sa open-source na codebase ng Evmos.

Ang isang umaatake ay maaaring unang lumikha ng isang account na naglalaman ng naka-lock na token at magdelega ng mas maraming token sa isang validator kaysa sa kayang gastusin ng account. Ang pagbabawas ng delegated na halaga ay nagdulot ng pagbagsak ng balanse sa ibaba ng zero, na nagiging sanhi ng pagbalot ng halaga sa maximum na posibleng pigura ng 2^256-1 batayang unit.

Pagkatapos ay magagamit ng umaatake ang pinataas na balanse laban sa isa pang account. Ang pagpapadala ng halaga sa isang target ay nagtulak sa naitalang balanse nito sa lampas ng parehong kisame ng numero, na nagdulot ng overflow na nagbalot pabalik sa halaga at iniwan ang umaatake na hawak ang mga token ng target.

Walang karagdagang token na nalikha sa pamamagitan ng proseso, ayon sa Cosmos Labs, at ang kabuuang supply ng token ay nanatiling epektibong hindi nagbabago. Sinabi ng MANTRA na binago ng exploit ang supply nito sa pamamagitan lamang ng isang batayang unit, ang pinakamaliit na nahahati na denominasyon ng token.

Sinabi ng Cosmos Labs na tinarget ng mga umaatake ang mga account na may malalaking balanse, kabilang ang mga burn address at multisignature na wallet na nilikha nang ilunsad ang mga network. Ang advisory nito ay nag-uri sa kapintasan bilang kritikal at kinilala ang mga release ng Cosmos EVM bago ang v0.6.2 at v0.7.2 bilang vulnerable.

Ang insidente ay sinundan ng isa pang pagbubunyag ng seguridad na nagsasangkot ng software ng Cosmos mas maaga sa taong ito. Nauna nang naiulat ng Crypto.news na isang mananaliksik ang nagbunyag ng isang kapintasan ng CometBFT noong Abril na maaaring magdulot ng paghinto ng mga node sa panahon ng pag-synchronize ng block. Ang isyu ng CVSS 7.1 ay hindi nagbigay-daan sa direktang pagnanakaw ng asset.

Ang mga network ay may humigit-kumulang 20 oras pagkatapos ng patch

Kapag nakumpirma na ng mga independiyenteng mananaliksik na ang kapintasan ng Cosmos EVM ay maaaring makaapekto sa mga chain ng produksyon, inihanda ng Cosmos Labs ang mga security release na inilabas noong Agosto 19.

Hindi binigyan ang mga operator ng network ng babala na tiyak sa kahinaan na nagpapaliwanag kung ano ang naayos ng pag-upgrade. Kalaunan ay sinabi ng MANTRA na ang 20 oras ay hindi sapat upang suriin, buuin, subukan at iugnay ang isang pag-upgrade na nakakasira ng estado sa 38 independiyenteng validator nito.

"Ang dalawampung oras ay hindi isang makatotohanang panahon upang suriin, buuin, subukan at iugnay ang isang pag-upgrade na nakakasira ng estado sa 38 independiyenteng validator, lalo na nang walang advisory na tiyak sa kahinaan," isinulat ng MANTRA sa post-mortem nito.

Isa pang pagbubunyag ang nangyari bago ang unang pagnanakaw. Noong 3:16 a.m. ET noong Agosto 20, isang developer ng Push Chain ang pampublikong nagsumite ng isang pagbabago sa code na naglalarawan sa kahinaan at ang landas ng pagsasamantala nito. Kinredito ng pagsumite ang paghahanap sa isang audit ng security firm na Hacken at inilista ang mga bersyon na itinuturing na vulnerable.

Sinabi ng pagsumite na walang nailabas na bersyon ang naglalaman ng pag-aayos, bagaman ang bersyon table nito ay nag-omit ng v0.6.2 at v0.7.2, na inilathala ng Cosmos Labs humigit-kumulang walong oras mas maaga.

Inilarawan ng Cosmos Labs ang paglalathala ng isang eksaktong landas ng pagsasamantala ng isang downstream developer bilang "lubhang hindi pangkaraniwan" at sinabi na ang mga pagbubunyag na ito ay maaaring magpataas ng panganib na ang isang kahinaan ay pagsasamantalahan.

Inilagay ng MANTRA ang pampublikong paghahanap ng seguridad 11 oras at 45 minuto bago ang unang probe ng umaatake. Gayunpaman, ang wallet ng umaatake ay napondohan halos apat na oras bago isumite ang paghahanap.

"Sinasaad namin ang timing bilang katotohanan at walang konklusyon na iginuhit mula rito," sabi ng MANTRA.

Ang isang pag-withdraw ng 472.70 MANTRA mula sa isang customer account sa isang sentralisadong palitan ang nagpondo sa mga gas fees na ginamit sa buong pag-atake, ayon sa network.

Nawalan ang MANTRA ng $3.6 milyon bago ihinto ang chain nito

Ang MANTRA ay dumanas ng pinakamalaking pampublikong naibunyag na pagkawala mula sa mga pag-atake, na may 720.9 milyong token ng MANTRA na noo'y nagkakahalaga ng humigit-kumulang $3.6 milyon na kinuha mula sa dalawang address.

Ang isa ay ang burn address ng network. Ang pangalawa ay isang dormant na multisignature na wallet na natira mula sa isang mas maagang kampanya ng insentibo.

Walang awtomatikong babala ang nabuo nang unang lumipat ang mga token mula sa burn address dahil itinuring ng mga sistema ng pagsubaybay ng MANTRA ang address bilang hindi maililipat at hindi ito binantayan para sa mga papalabas na transaksyon.

Nanatiling hindi natukoy ang pag-atake sa loob ng halos apat na oras, na nagbigay ng oras sa umaatake na ubusin ang dormant na multisig wallet.

Itinigil ng MANTRA ang network noong 7:13 p.m. ET noong Agosto 20. Humigit-kumulang 38 milyong ninakaw na MANTRA ang nanatiling frozen sa wallet ng umaatake, ngunit 94.7% ng mga ninakaw na token ay nailipat na sa isang sentralisadong address ng deposito ng palitan sa pamamagitan ng 15 transaksyon.

Nanatiling hindi makapagproseso ng mga transaksyon ang chain sa loob ng humigit-kumulang 30 oras. Iniulat ng Crypto.news sa panahon ng pagkaantala na itinigil ng MANTRA ang mga transaksyon habang iniimbestigahan ng mga engineering at security team ang insidente at sinuspinde ng mga palitan ang mga deposito at pag-withdraw.

Kalaunan ay nag-deploy ang mga validator ng na-patch na software at ipinagpatuloy ang paggawa ng block nang walang pag-rollback ng chain o pagbabago ng mga balanse ng gumagamit. Kasama sa Bersyon 8.4.0 ang pag-aayos ng seguridad ng Cosmos EVM.

Nagdagdag ang MANTRA ng native na suporta sa EVM sa mainnet nito noong Setyembre 2025 kasama ang CosmWasm compatibility, na nagpapahintulot sa mga Solidity application at Cosmos-native na smart contract na gumana sa network.

Walang ninakaw na token ng MANTRA ang nabawi hanggang Agosto 28, ayon sa proyekto.

Ang sirkulasyon ng supply nito ay tumaas ng humigit-kumulang 720.9 milyong token dahil ang mga asset na hawak sa mga account na dati nang inuri bilang hindi magagamit, kabilang ang burn address, ay naging tradable matapos ilipat ng umaatake.

Ang TAC at KiiChain ay na-hit pagkatapos ng MANTRA

Ang parehong pamamaraan ay ginamit laban sa TAC noong Agosto 22, ayon sa Cosmos Labs. Halos 3 bilyong TAC ang kinuha mula sa staking pool ng network.

Ang TAC ay idinisenyo upang magdala ng mga desentralisadong aplikasyon ng pananalapi sa mga gumagamit ng TON at Telegram. Humigit-kumulang 1.2 bilyon ng mga ninakaw na token ang ibinenta sa BNB Chain sa halagang humigit-kumulang $950,000.

Naatake ang KiiChain noong gabing iyon, nawalan ng humigit-kumulang 148 milyong KII. Humigit-kumulang 64.6 milyong token ang ibinenta sa halagang humigit-kumulang $1.6 milyon.

Tinataya ng Cosmos Labs na humigit-kumulang 54% ng ninakaw na KII ay nananatiling mababawi onchain kung maibabalik ang network.

Sa teknikal na post-mortem nito noong Agosto 23, pinuna ng KiiChain kung paano ipinagbigay-alam ang kahinaan sa mga downstream na network. Sinabi ng proyekto na ang Cosmos Labs ay hindi nagbigay ng paunang abiso, hindi kinilala ang release bilang kritikal sa seguridad o sa simula ay sinabihan ang mga apektadong chain na huminto.

"Ang isang patch ay tumatagal ng ilang araw upang suriin, buuin, subukan at ilunsad sa buong validator set. Ang paghinto ay tumatagal ng ilang minuto," isinulat ng KiiChain. "Ang tanging hakbang na maglalaman ng panganib kaagad ay isang malinaw na tagubilin upang ihinto ang paggawa ng block, at ang tagubiling iyon ay dumating pagkatapos mangyari ang pinsala."

Inirekomenda ng Cosmos Labs na huminto ang mga vulnerable network noong Agosto 22, matapos tamaan na ang MANTRA, TAC at KiiChain.

Kinuwestiyon din ng KiiChain ang bahagi ng teknikal na pagtatasa, na sinasabing tatlong depekto sa upstream ang kinakailangan upang maisagawa ang exploit at na ang underflow lamang ang na-patch sa publiko.

Nakahanap ang MANTRA ng ibang konklusyon matapos subukan ang pag-aayos laban sa isang gumaganang reproduction ng exploit. Inilarawan ng post-mortem nito ang underflow repair bilang "ang kontrol na nagsasara sa landas ng pag-atake na ito."

Inilarawan ng Cosmos Labs ang dalawang naka-chain na kahinaan ngunit hindi tinugunan ang pag-aangkin ng KiiChain na ang isa pang depekto sa upstream ay nananatiling hindi nalutas.

Tatlong iba pang Cosmos EVM network ang inatake

Tatlong karagdagang chain ang pinagsamantalahan gamit ang parehong pamamaraan, bagaman hindi sila kinilala ng Cosmos Labs sa ulat nito.

Maaaring ang Nesa ang isa sa mga apektadong network. Sinuspinde ng Bitvavo ang mga deposito at pag-withdraw ng NES noong Agosto 24, na binabanggit ang isang kritikal na kahinaan sa consensus na pinagsamantalahan upang tanggapin ng mga vulnerable node ang hindi balidong block.

Kinilala ng Blockchain analytics firm na Bubblemaps ang Nesa bilang isa sa mga apektadong chain sa isang pagsusuri noong Agosto 26. Sinabi ng firm na bumili ang isang umaatake ng humigit-kumulang $250,000 na halaga ng NES, itinawid ito sa Nesa, ginamit ang kapintasan upang taasan ang balanse ng humigit-kumulang 200 beses at inilipat ang humigit-kumulang $50 milyon sa NES pabalik sa Ethereum.

Karamihan sa mga pagtatangka sa pagpapalit ay dumanas ng matinding pagdulas dahil inalis ang liquidity mula sa mga trading pool, na nag-iwan sa umaatake ng humigit-kumulang $60,000 na kita, ayon sa Bubblemaps.

Ang wallet ay orihinal na napondohan sa pamamagitan ng Monero. Sinabi ng Bubblemaps na ang mga pagkakaiba sa paraan ng pagpopondo at ang pag-uugali ng umaatake ay nangangahulugang isang hiwalay na partido ang maaaring responsable para sa Nesa exploit.

Ang natitirang dalawang apektadong chain ay hindi pa pampublikong kinikilala.

Sinabi ng Cosmos Labs na nakipag-ugnayan ito sa 40 network sa panahon ng pagtugon nito at nakipagtulungan sa 13 iba pa upang i-patch ang kahinaan o huminto bago sila inatake.

Sinabi ng firm na hindi nito pinapanatili ang isang kumpletong rehistro ng higit sa 115 pampublikong blockchain na gumagana sa buong ekosistema ng Cosmos. Ang pagtugon nito ay nagbunyag ng 11 deployment ng Cosmos EVM na hindi pa nakarehistro sa team.

Samantala, ang MANTRA ay binibili ng kasalukuyang sumusuporta na Inveniam Capital Partners, na gumawa ng $20 milyong estratehikong pamumuhunan sa proyekto noong Agosto 2025. Inaasahang matatapos ang transaksyon sa ikatlong quarter ng 2026, kung saan ang MANTRA Chain, ang token nito at mga kaugnay na imprastraktura ay inaasahang magpapatuloy na gumana sa ilalim ng pagmamay-ari ng Inveniam.