Cosmos Labs a exhorté les chaînes Cosmos EVM affectées à demander aux validateurs d'arrêter la production de blocs le 25 août, alors que ses équipes de sécurité et d'ingénierie réagissaient à un incident qui avait déjà touché plusieurs réseaux.
La société n'a pas identifié la vulnérabilité sous-jacente, les chaînes affectées ou les pertes totales dans sa déclaration initiale. Elle a déclaré que les utilisateurs du module Cosmos EVM avaient été affectés et a promis un rapport d'incident une fois la situation résolue.
Des divulgations distinctes de MANTRA, TAC et KiiChain relient les récentes attaques à la pile logicielle Cosmos EVM. Cependant, Cosmos Labs n'a pas publiquement confirmé que ces incidents partagent une même vulnérabilité exacte ni nommé toutes les chaînes invitées à s'arrêter.
Cosmos EVM est une pile logicielle partagée qui permet aux chaînes Cosmos SDK d'exécuter des contrats intelligents compatibles avec Ethereum. Une vulnérabilité dans un module commun peut donc exposer des réseaux indépendants exécutant des versions ou des configurations affectées.
Cosmos Labs a déclaré que ses équipes « réagissaient de manière proactive » et avaient contacté les chaînes utilisant le module. Elle a demandé à ces équipes de coordonner avec les validateurs, qui doivent collectivement arrêter la production de blocs sur les réseaux décentralisés de preuve d'enjeu.
Un arrêt empêche le règlement de nouvelles transactions pendant que les développeurs enquêtent et distribuent un correctif. Il bloque également temporairement les transferts réguliers, les applications et les retraits qui dépendent de la chaîne affectée.
Cosmos Labs a dirigé les autres équipes Cosmos EVM ayant des questions vers son e-mail de sécurité. Il n'a pas publié de version logicielle, d'instructions d'atténuation ou de calendrier de redémarrage, probablement pour éviter de révéler des détails exploitables avant que les chaînes ne soient protégées.
KiiChain a déclaré qu'un attaquant avait siphonné 148 326 583,15 KII de portefeuilles le 22 août. Son rapport d'incident a indiqué que l'attaquant avait répété la technique 18 fois avant que les validateurs n'arrêtent le réseau au bloc 9 355 723.
L'équipe a lié l'attaque à une vulnérabilité Cosmos EVM impliquant les comptes de vesting, les opérations de staking et la gestion des soldes. KiiChain a déclaré que l'attaquant avait ponté une partie des actifs vers la BNB Smart Chain via Hyperlane. L'équipe n'a pas identifié Hyperlane comme étant le composant vulnérable.
TAC a séparément déclaré qu'un attaquant avait exploité une faiblesse dans la couche de précompilation Cosmos EVM le 22 août et avait vidé un compte. Les validateurs ont arrêté TAC au bloc 24 671, selon sa mise à jour officielle.
Les divulgations des projets établissent que les deux réseaux ont subi des mouvements d'actifs non autorisés. Cosmos Labs n'a pas encore publié de calcul des pertes agrégées ni confirmé si le même attaquant contrôlait toutes les adresses impliquées.
MANTRA a arrêté son réseau le 20 août après avoir détecté une activité impliquant deux portefeuilles gérés par le projet. L'équipe a isolé l'incident à son module Cosmos EVM et a déployé une version mise à jour avant de coordonner un redémarrage des validateurs.
Comme signalé précédemment, MANTRA a repris la production de blocs après un arrêt d'environ 30 heures. Il a redémarré à partir d'un instantané au bloc 17 449 398 sans annuler l'état enregistré de la chaîne.
MANTRA a déclaré qu'« aucun fonds d'utilisateur n'avait été affecté », mais son post-mortem complet et sa comptabilité détaillée des actifs restent non publiés.
L'équipe a déclaré que les soldes étaient inchangés et que les deux adresses affectées appartenaient à son infrastructure de portefeuille interne. Cette déclaration n'établit pas si des actifs contrôlés par le projet ont été déplacés ou ne quantifie pas les tentatives de retrait.
Les incidents font suite à une faille précédente de Cosmos EVM impliquant la précompilation ICS20. Un avis de sécurité de mars a indiqué qu'une gestion incorrecte de l'état pendant une exécution imbriquée permettait d'utiliser le même solde de jetons à plusieurs reprises au sein d'une seule transaction.
Ce problème antérieur a entraîné une perte estimée à 7 millions de dollars sur SagaEVM en janvier. Dans un article connexe, SagaEVM a été mis en pause après que des actifs pontés aient été compromis. Il reste non confirmé si les attaques d'août ont utilisé cette faille exacte, un chemin d'exécution connexe ou une vulnérabilité distincte.
Les priorités immédiates sont d'identifier chaque déploiement vulnérable, de distribuer un correctif testé et de confirmer que les chaînes affectées peuvent redémarrer en toute sécurité. Les validateurs auront besoin d'instructions de mise à niveau coordonnées avant de reprendre la production de blocs.
Le rapport promis par Cosmos Labs devrait identifier le composant défectueux, les versions affectées, la chronologie de l'exploitation et les pertes totales. Il devrait également expliquer si MANTRA, TAC et KiiChain ont été compromis par le même chemin de code.
Jusqu'à ce que ce rapport paraisse, d'autres équipes utilisant Cosmos EVM pourraient maintenir les réseaux à l'arrêt ou désactiver les fonctionnalités affectées. Les utilisateurs doivent se fier aux pages d'état officielles des chaînes et éviter les transactions via des interfaces non vérifiées ou de prétendus outils de récupération.
