Cosmos Labs a révélé que des attaquants ont exploité une vulnérabilité critique de Cosmos EVM sur six réseaux blockchain entre le 20 et le 25 août, convertissant les jetons volés en environ 5,72 millions de dollars d'actifs via des exchanges décentralisés et centralisés.
Cosmos Labs a déclaré dans un post-mortem technique publié vendredi que la faille avait été signalée pour la première fois via son programme de bug bounty le 25 avril, près de quatre mois avant le début des attaques. Ses testeurs n'ont pas pu reproduire l'exploit sur les configurations utilisées par les réseaux Cosmos EVM de production connus et ont conclu à l'époque que les fonds des utilisateurs en direct n'étaient pas menacés.
Sur la base de cette évaluation, les développeurs ont géré la vulnérabilité par un correctif public silencieux au lieu de distribuer en privé un correctif de sécurité aux chaînes affectées. Cosmos Labs a fusionné le correctif en mai sans informer les opérateurs de réseau de la vulnérabilité qu'il corrigeait.
L'évaluation s'est ensuite avérée incorrecte après que des chercheurs indépendants ont établi début août que le bug affectait toutes les chaînes Cosmos EVM. Cosmos Labs a alors obscurci le correctif pour rendre la rétro-ingénierie plus difficile et a publié les versions corrigées le 19 août à 19h01 ET.
Les notes de publication faisaient référence à des correctifs de sécurité « importants » sans décrire la vulnérabilité. La première attaque connue a commencé le 20 août à 15h06 ET, environ 20 heures après que le logiciel corrigé soit devenu disponible.
La vulnérabilité impliquait un dépassement de capacité (integer underflow) dans Cosmos EVM, le framework compatible Ethereum de l'écosystème construit à partir du codebase open-source Evmos.
Un attaquant pouvait d'abord créer un compte contenant des jetons verrouillés et déléguer plus de jetons à un validateur que le compte n'était en mesure de dépenser. La soustraction du montant délégué entraînait une baisse du solde en dessous de zéro, ce qui faisait boucler la valeur jusqu'au chiffre maximal possible de 2^256-1 unités de base.
L'attaquant pouvait ensuite utiliser le solde gonflé contre un autre compte. L'envoi du montant à une cible poussait son solde enregistré au-delà du même plafond numérique, provoquant un dépassement de capacité (overflow) qui ramenait la valeur à zéro et laissait l'attaquant en possession des jetons de la cible.
Aucun jeton supplémentaire n'a été créé par ce processus, selon Cosmos Labs, et l'offre totale de jetons est restée effectivement inchangée. MANTRA a déclaré que l'exploit n'avait modifié son offre que d'une seule unité de base, la plus petite dénomination divisible du jeton.
Cosmos Labs a déclaré que les attaquants ciblaient les comptes détenant des soldes importants, y compris les adresses de burn et les portefeuilles multi-signatures créés lors du lancement des réseaux. Son avis a classé la faille comme critique et a identifié les versions de Cosmos EVM antérieures à v0.6.2 et v0.7.2 comme vulnérables.
Cet incident fait suite à une autre divulgation de sécurité concernant le logiciel Cosmos plus tôt cette année. Crypto.news avait précédemment signalé qu'un chercheur avait divulgué une faille CometBFT en avril qui pouvait entraîner le blocage des nœuds lors de la synchronisation des blocs. Le problème CVSS 7.1 n'a pas permis le vol direct d'actifs.
Une fois que des chercheurs indépendants ont confirmé que la faille Cosmos EVM pouvait affecter les chaînes de production, Cosmos Labs a préparé les versions de sécurité qui ont été mises en ligne le 19 août.
Les opérateurs de réseau n'ont pas reçu d'avertissement spécifique à la vulnérabilité expliquant ce que la mise à niveau corrigeait. MANTRA a ensuite déclaré que 20 heures n'étaient pas suffisantes pour évaluer, construire, tester et coordonner une mise à niveau modifiant l'état sur ses 38 validateurs indépendants.
« Vingt heures n'était pas une fenêtre réaliste pour évaluer, construire, tester et coordonner une mise à niveau modifiant l'état sur 38 validateurs indépendants, particulièrement sans un avis spécifique à la vulnérabilité », a écrit MANTRA dans son post-mortem.
Une autre divulgation a eu lieu avant le premier vol. Le 20 août à 3h16 ET, un développeur de Push Chain a soumis publiquement une modification de code décrivant la vulnérabilité et son chemin d'exploitation. Le document attribuait la découverte à un audit de la société de sécurité Hacken et listait les versions considérées comme vulnérables.
La soumission indiquait qu'aucune version publiée ne contenait le correctif, bien que son tableau des versions omettait v0.6.2 et v0.7.2, que Cosmos Labs avait publiées environ huit heures plus tôt.
Cosmos Labs a décrit la publication d'un chemin d'exploitation exact par un développeur en aval comme « très inhabituelle » et a déclaré que de telles divulgations peuvent augmenter le risque qu'une vulnérabilité soit exploitée.
MANTRA a situé la découverte publique de sécurité 11 heures et 45 minutes avant la première sonde de l'attaquant. Cependant, le portefeuille de l'attaquant avait été financé près de quatre heures avant le dépôt de la découverte.
« Nous affirmons le calendrier comme un fait et n'en tirons aucune conclusion », a déclaré MANTRA.
Un retrait de 472,70 MANTRA d'un compte client sur un exchange centralisé a financé les frais de gaz utilisés tout au long de l'attaque, selon le réseau.
MANTRA a subi la plus grande perte divulguée publiquement lors des attaques, avec 720,9 millions de jetons MANTRA, alors évalués à environ 3,6 millions de dollars, prélevés sur deux adresses.
L'une était l'adresse de burn du réseau. La seconde était un portefeuille multi-signatures dormant laissé par une précédente campagne d'incitation.
Aucun avertissement automatisé n'a été généré lorsque les jetons ont commencé à quitter l'adresse de burn car les systèmes de surveillance de MANTRA considéraient cette adresse comme immuable et ne la surveillaient pas pour les transactions sortantes.
L'attaque est restée indétectée pendant près de quatre heures, donnant à l'attaquant le temps de vider le portefeuille multi-signatures dormant.
MANTRA a arrêté le réseau le 20 août à 19h13 ET. Environ 38 millions de MANTRA volés sont restés gelés dans le portefeuille de l'attaquant, mais 94,7% des jetons volés avaient déjà été transférés vers une adresse de dépôt d'exchange centralisé via 15 transactions.
La chaîne est restée incapable de traiter les transactions pendant environ 30 heures. Crypto.news a rapporté pendant l'interruption que MANTRA avait arrêté les transactions pendant que les équipes d'ingénierie et de sécurité enquêtaient sur l'incident et que les exchanges suspendaient les dépôts et les retraits.
Les validateurs ont ensuite déployé le logiciel corrigé et ont repris la production de blocs sans restaurer la chaîne ni modifier les soldes des utilisateurs. La version 8.4.0 incluait le correctif de sécurité de Cosmos EVM.
MANTRA avait ajouté le support EVM natif à son mainnet en septembre 2025, parallèlement à la compatibilité CosmWasm, permettant aux applications Solidity et aux contrats intelligents natifs de Cosmos de fonctionner sur le réseau.
Aucun jeton MANTRA volé n'avait été récupéré au 28 août, selon le projet.
Son offre en circulation a augmenté d'environ 720,9 millions de jetons car les actifs détenus dans des comptes précédemment classés comme non dépensables, y compris l'adresse de burn, sont devenus échangeables après avoir été déplacés par l'attaquant.
La même méthode a été utilisée contre TAC le 22 août, selon Cosmos Labs. Près de 3 milliards de TAC ont été prélevés sur le pool de staking du réseau.
TAC est conçu pour apporter des applications de finance décentralisée aux utilisateurs de TON et Telegram. Environ 1,2 milliard des jetons volés ont été vendus sur BNB Chain pour environ 950 000 dollars.
KiiChain a été attaquée ce soir-là, perdant environ 148 millions de KII. Environ 64,6 millions de jetons ont été vendus pour environ 1,6 million de dollars.
Cosmos Labs a estimé qu'environ 54% des KII volés restent récupérables on-chain si le réseau est restauré.
Dans son post-mortem technique du 23 août, KiiChain a critiqué la manière dont la vulnérabilité avait été communiquée aux réseaux en aval. Le projet a déclaré que Cosmos Labs n'avait pas fourni d'avis préalable, n'avait pas identifié la version comme critique pour la sécurité ou n'avait pas initialement dit aux chaînes affectées de s'arrêter.
« Un correctif prend des jours à examiner, construire, tester et déployer sur un ensemble de validateurs. Un arrêt prend des minutes », a écrit KiiChain. « La seule mesure qui aurait contenu le risque immédiatement était une instruction claire d'arrêter de produire des blocs, et cette instruction est venue après que le mal ait été fait. »
Cosmos Labs a recommandé que les réseaux vulnérables s'arrêtent le 22 août, après que MANTRA, TAC et KiiChain aient déjà été frappés.
KiiChain a également contesté une partie de l'évaluation technique, affirmant que trois défauts en amont étaient nécessaires pour réaliser l'exploit et que seul le dépassement de capacité (underflow) avait été corrigé publiquement.
MANTRA est parvenu à une conclusion différente après avoir testé le correctif contre une reproduction fonctionnelle de l'exploit. Son post-mortem a décrit la correction de l'underflow comme « le contrôle qui ferme cette voie d'attaque ».
Cosmos Labs a décrit deux vulnérabilités en chaîne mais n'a pas abordé l'affirmation de KiiChain selon laquelle un autre défaut en amont reste non résolu.
Trois autres chaînes ont été exploitées avec la même méthode, bien que Cosmos Labs ne les ait pas identifiées dans son rapport.
Nesa pourrait avoir été l'un des réseaux affectés. Bitvavo a suspendu les dépôts et les retraits de NES le 24 août, citant une vulnérabilité critique de consensus qui avait été exploitée pour que les nœuds vulnérables acceptent des blocs invalides.
La firme d'analyse blockchain Bubblemaps a identifié Nesa comme l'une des chaînes affectées dans une analyse du 26 août. La firme a déclaré qu'un attaquant avait acheté environ 250 000 dollars de NES, l'avait ponté vers Nesa, avait utilisé la faille pour multiplier le solde par environ 200 et avait transféré environ 50 millions de dollars de NES vers Ethereum.
La plupart des tentatives d'échange ont subi un slippage extrême car la liquidité a été retirée des pools de trading, laissant à l'attaquant un profit d'environ 60 000 dollars, selon Bubblemaps.
Le portefeuille avait été initialement financé par Monero. Bubblemaps a déclaré que les différences dans la méthode de financement et le comportement de l'attaquant signifiaient qu'une partie distincte pourrait être responsable de l'exploit Nesa.
Les deux autres chaînes affectées n'ont pas été identifiées publiquement.
Cosmos Labs a déclaré avoir coordonné avec 40 réseaux pendant sa réponse et avoir travaillé avec 13 autres pour corriger la vulnérabilité ou s'arrêter avant d'être attaqués.
La firme a déclaré qu'elle ne tenait pas de registre complet des plus de 115 blockchains publiques opérant au sein de l'écosystème Cosmos. Sa réponse a révélé 11 déploiements Cosmos EVM qui n'avaient pas été précédemment enregistrés auprès de l'équipe.
MANTRA, quant à elle, est en cours d'acquisition par son bailleur de fonds existant, Inveniam Capital Partners, qui avait réalisé un investissement stratégique de 20 millions de dollars dans le projet en août 2025. La transaction devrait être finalisée au troisième trimestre 2026, avec MANTRA Chain, son jeton et l'infrastructure associée devant continuer à fonctionner sous la propriété d'Inveniam.
MANTRA
KII
