कॉसमॉस लैब्स ने खुलासा किया है कि हमलावरों ने 20 अगस्त से 25 अगस्त के बीच छह ब्लॉकचेन नेटवर्कों में एक गंभीर कॉसमॉस ईवीएम भेद्यता का फायदा उठाया, और चोरी किए गए टोकन को विकेंद्रीकृत और केंद्रीकृत एक्सचेंजों के माध्यम से लगभग 5.72 मिलियन डॉलर की संपत्ति में परिवर्तित कर दिया।
कॉसमॉस लैब्स ने शुक्रवार को प्रकाशित एक तकनीकी पोस्टमॉर्टम में कहा कि यह खामी पहली बार 25 अप्रैल को उसके बग बाउंटी कार्यक्रम के माध्यम से रिपोर्ट की गई थी, हमलों के शुरू होने से लगभग चार महीने पहले। इसके परीक्षक ज्ञात उत्पादन कॉसमॉस ईवीएम नेटवर्कों द्वारा उपयोग किए गए कॉन्फ़िगरेशन के खिलाफ एक्सप्लॉइट को दोहराने में असमर्थ थे और उस समय यह निष्कर्ष निकाला कि लाइव उपयोगकर्ता निधियां खतरे में नहीं थीं।
उस मूल्यांकन के आधार पर, डेवलपर्स ने प्रभावित चेन को निजी तौर पर सुरक्षा सुधार वितरित करने के बजाय एक साइलेंट पब्लिक पैच के माध्यम से भेद्यता को संभाला। कॉसमॉस लैब्स ने मई में सुधार को मर्ज कर दिया, बिना नेटवर्क ऑपरेटरों को यह बताए कि यह किस भेद्यता को संबोधित करता है।
यह मूल्यांकन बाद में गलत साबित हुआ जब स्वतंत्र शोधकर्ताओं ने अगस्त की शुरुआत में यह स्थापित किया कि यह बग सभी कॉसमॉस ईवीएम चेन को प्रभावित करता है। कॉसमॉस लैब्स ने तब रिवर्स इंजीनियरिंग को और अधिक कठिन बनाने के लिए सुधार को अस्पष्ट कर दिया और 19 अगस्त को शाम 7:01 बजे ईटी पर पैच किए गए संस्करण जारी किए।
रिलीज़ नोट्स में भेद्यता का वर्णन किए बिना "महत्वपूर्ण" सुरक्षा सुधारों का उल्लेख किया गया था। पहला ज्ञात हमला 20 अगस्त को शाम 3:06 बजे ईटी पर शुरू हुआ, पैच किए गए सॉफ़्टवेयर के उपलब्ध होने के लगभग 20 घंटे बाद।
भेद्यता में कॉसमॉस ईवीएम में एक पूर्णांक अंडरफ्लो शामिल था, जो इकोसिस्टम का एथेरियम-संगत फ्रेमवर्क है जिसे ओपन-सोर्स एवमोस (Evmos) कोडबेस से बनाया गया है।
एक हमलावर पहले लॉक किए गए टोकन वाला एक खाता बना सकता था और वैलिडेटर को उस खाते की खर्च करने की क्षमता से अधिक टोकन डेलिगेट कर सकता था। डेलिगेट की गई राशि को घटाने से शेष राशि शून्य से नीचे गिर गई, जिससे मान अधिकतम संभावित आंकड़े 2^256-1 बेस यूनिट तक पहुँच गया।
हमलावर तब बढ़ी हुई शेष राशि का उपयोग दूसरे खाते के खिलाफ कर सकता था। लक्ष्य को राशि भेजने से उसकी रिकॉर्ड की गई शेष राशि उसी संख्यात्मक सीमा से आगे बढ़ गई, जिससे एक ओवरफ्लो हुआ जिसने मान को वापस नीचे लपेट दिया और हमलावर को लक्ष्य के टोकन अपने पास रखने की अनुमति दी।
कॉसमॉस लैब्स के अनुसार, इस प्रक्रिया के माध्यम से कोई अतिरिक्त टोकन नहीं बनाए गए थे, और कुल टोकन आपूर्ति प्रभावी रूप से अपरिवर्तित रही। मंत्रा ने कहा कि एक्सप्लॉइट ने अपनी आपूर्ति को केवल एक बेस यूनिट से बदला, जो टोकन का सबसे छोटा विभाज्य मूल्य है।
कॉसमॉस लैब्स ने कहा कि हमलावरों ने बड़े शेष वाले खातों को निशाना बनाया, जिसमें बर्न एड्रेस और मल्टीसिग्नेचर वॉलेट शामिल थे जो नेटवर्क लॉन्च होने पर बनाए गए थे। इसकी सलाह ने खामी को गंभीर के रूप में वर्गीकृत किया और v0.6.2 और v0.7.2 से पहले के कॉसमॉस ईवीएम रिलीज़ को कमजोर के रूप में पहचाना।
यह घटना इस साल की शुरुआत में कॉसमॉस सॉफ्टवेयर से जुड़े एक और सुरक्षा खुलासे के बाद हुई। Crypto.news ने पहले रिपोर्ट किया था कि एक शोधकर्ता ने अप्रैल में एक कॉमेटबीएफटी (CometBFT) खामी का खुलासा किया था जिससे ब्लॉक सिंक्रनाइज़ेशन के दौरान नोड्स रुक सकते थे। सीवीएसएस 7.1 समस्या ने सीधे संपत्ति की चोरी की अनुमति नहीं दी थी।
एक बार जब स्वतंत्र शोधकर्ताओं ने पुष्टि की कि कॉसमॉस ईवीएम खामी उत्पादन चेन को प्रभावित कर सकती है, तो कॉसमॉस लैब्स ने सुरक्षा रिलीज़ तैयार की जो 19 अगस्त को लाइव हुई।
नेटवर्क ऑपरेटरों को यह बताने के लिए कोई भेद्यता-विशिष्ट चेतावनी नहीं दी गई थी कि अपग्रेड ने क्या ठीक किया। मंत्रा ने बाद में कहा कि 20 घंटे अपने 38 स्वतंत्र वैलिडेटर में एक स्टेट-ब्रेकिंग अपग्रेड का आकलन करने, बनाने, परीक्षण करने और समन्वय करने के लिए पर्याप्त नहीं थे।
मंत्रा ने अपने पोस्टमॉर्टम में लिखा, "बीस घंटे 38 स्वतंत्र वैलिडेटर में एक स्टेट-ब्रेकिंग अपग्रेड का आकलन करने, बनाने, परीक्षण करने और समन्वय करने के लिए एक यथार्थवादी खिड़की नहीं थी, विशेष रूप से एक भेद्यता-विशिष्ट सलाह के बिना।"
पहला चोरी होने से पहले एक और खुलासा हुआ। 20 अगस्त को सुबह 3:16 बजे ईटी पर, एक पुश चेन डेवलपर ने सार्वजनिक रूप से भेद्यता और उसके शोषण पथ का वर्णन करते हुए एक कोड परिवर्तन प्रस्तुत किया। इस खोज का श्रेय सुरक्षा फर्म हैकन (Hacken) के ऑडिट को दिया गया और कमजोर माने जाने वाले संस्करणों को सूचीबद्ध किया गया।
प्रस्तुति में कहा गया था कि किसी भी जारी किए गए संस्करण में सुधार नहीं था, हालांकि इसकी संस्करण तालिका में v0.6.2 और v0.7.2 को छोड़ दिया गया था, जिसे कॉसमॉस लैब्स ने लगभग आठ घंटे पहले प्रकाशित किया था।
कॉसमॉस लैब्स ने डाउनस्ट्रीम डेवलपर द्वारा एक सटीक शोषण पथ के प्रकाशन को "अत्यधिक असामान्य" बताया और कहा कि ऐसे खुलासे से भेद्यता के शोषण का जोखिम बढ़ सकता है।
मंत्रा ने हमलावर की पहली जांच से 11 घंटे 45 मिनट पहले सार्वजनिक सुरक्षा खोज रखी। हालांकि, हमलावर का वॉलेट खोज दर्ज होने से लगभग चार घंटे पहले ही वित्त पोषित हो चुका था।
मंत्रा ने कहा, "हम समय को एक तथ्य के रूप में बताते हैं और इससे कोई निष्कर्ष नहीं निकालते हैं।"
नेटवर्क के अनुसार, एक केंद्रीकृत एक्सचेंज पर एक ग्राहक खाते से 472.70 मंत्रा की निकासी ने पूरे हमले में उपयोग की जाने वाली गैस शुल्क का वित्तपोषण किया।
मंत्रा को हमलों से सबसे बड़ा सार्वजनिक रूप से उजागर हुआ नुकसान हुआ, जिसमें दो एड्रेस से 720.9 मिलियन मंत्रा टोकन, तब लगभग 3.6 मिलियन डॉलर मूल्य के थे, ले लिए गए।
एक नेटवर्क का बर्न एड्रेस था। दूसरा एक निष्क्रिय मल्टीसिग्नेचर वॉलेट था जो एक पूर्व प्रोत्साहन अभियान से बचा हुआ था।
जब टोकन पहली बार बर्न एड्रेस से चले गए तो कोई स्वचालित चेतावनी उत्पन्न नहीं हुई क्योंकि मंत्रा की निगरानी प्रणाली ने एड्रेस को अचल माना और आउटगोइंग लेनदेन के लिए इसकी निगरानी नहीं की।
हमले का लगभग चार घंटे तक पता नहीं चला, जिससे हमलावर को निष्क्रिय मल्टीसिग वॉलेट को खाली करने का समय मिल गया।
मंत्रा ने 20 अगस्त को शाम 7:13 बजे ईटी पर नेटवर्क रोक दिया। हमलावर के वॉलेट में लगभग 38 मिलियन चोरी हुए मंत्रा जमे हुए रहे, लेकिन चोरी हुए टोकन का 94.7% पहले ही 15 लेनदेन के माध्यम से एक केंद्रीकृत एक्सचेंज डिपॉजिट एड्रेस में स्थानांतरित कर दिया गया था।
चेन लगभग 30 घंटे तक लेनदेन संसाधित करने में असमर्थ रही। Crypto.news ने रुकावट के दौरान रिपोर्ट किया कि मंत्रा ने लेनदेन रोक दिया जबकि इंजीनियरिंग और सुरक्षा टीमों ने घटना की जांच की और एक्सचेंजों ने जमा और निकासी निलंबित कर दी।
वैलिडेटर्स ने बाद में पैच किए गए सॉफ्टवेयर को तैनात किया और चेन को वापस लाए बिना या उपयोगकर्ता शेष राशि में बदलाव किए बिना ब्लॉक उत्पादन फिर से शुरू किया। संस्करण 8.4.0 में कॉसमॉस ईवीएम सुरक्षा सुधार शामिल था।
मंत्रा ने सितंबर 2025 में अपनी मेननेट में मूल ईवीएम समर्थन जोड़ा था, साथ ही कॉस्मवेसम संगतता भी, जिससे सॉलिडिटी एप्लिकेशन और कॉसमॉस-नेटिव स्मार्ट कॉन्ट्रैक्ट नेटवर्क पर काम कर सकें।
परियोजना के अनुसार, 28 अगस्त तक कोई चोरी हुए मंत्रा टोकन बरामद नहीं हुए थे।
इसकी प्रचलन आपूर्ति में लगभग 720.9 मिलियन टोकन की वृद्धि हुई क्योंकि बर्न एड्रेस सहित पहले अयोग्य के रूप में वर्गीकृत खातों में रखी गई संपत्तियां हमलावर द्वारा स्थानांतरित किए जाने के बाद व्यापार योग्य हो गईं।
कॉसमॉस लैब्स के अनुसार, 22 अगस्त को टीएसी (TAC) के खिलाफ भी इसी तरीके का इस्तेमाल किया गया था। नेटवर्क के स्टेकिंग पूल से लगभग 3 बिलियन टीएसी ले लिए गए।
टीएसी को टीओएन (TON) और टेलीग्राम (Telegram) उपयोगकर्ताओं के लिए विकेंद्रीकृत वित्त एप्लिकेशन लाने के लिए डिज़ाइन किया गया है। चोरी किए गए टोकन में से लगभग 1.2 बिलियन बीएनबी चेन पर लगभग $950,000 में बेचे गए थे।
उस शाम किचेन (KiiChain) पर हमला हुआ, जिसमें लगभग 148 मिलियन केआईआई (KII) का नुकसान हुआ। लगभग 64.6 मिलियन टोकन लगभग 1.6 मिलियन डॉलर में बेचे गए।
कॉसमॉस लैब्स ने अनुमान लगाया कि चोरी हुए केआईआई का लगभग 54% ऑनचेन पर वसूली योग्य है यदि नेटवर्क को बहाल किया जाता है।
अपने 23 अगस्त के तकनीकी पोस्टमॉर्टम में, किचेन ने आलोचना की कि भेद्यता को डाउनस्ट्रीम नेटवर्कों को कैसे संप्रेषित किया गया था। परियोजना ने कहा कि कॉसमॉस लैब्स ने अग्रिम सूचना प्रदान नहीं की, रिलीज़ को सुरक्षा के लिए महत्वपूर्ण के रूप में पहचान नहीं की या शुरू में प्रभावित चेन को रोकने के लिए नहीं कहा।
किचेन ने लिखा, "एक पैच की समीक्षा, निर्माण, परीक्षण और एक वैलिडेटर सेट में रोल आउट करने में कई दिन लगते हैं। एक रुकावट में कुछ मिनट लगते हैं।" "केवल वही उपाय जो तुरंत जोखिम को नियंत्रित कर सकता था, ब्लॉक उत्पादन रोकने का स्पष्ट निर्देश था, और वह निर्देश नुकसान होने के बाद आया।"
कॉसमॉस लैब्स ने सिफारिश की कि कमजोर नेटवर्क 22 अगस्त को मंत्रा, टीएसी और किचेन पर हमला होने के बाद रुक जाएं।
किचेन ने तकनीकी मूल्यांकन के एक हिस्से पर भी विवाद किया, यह कहते हुए कि एक्सप्लॉइट को अंजाम देने के लिए तीन अपस्ट्रीम दोषों की आवश्यकता थी और केवल अंडरफ्लो को सार्वजनिक रूप से पैच किया गया था।
मंत्रा ने एक्सप्लॉइट के एक कार्यशील पुनरुत्पादन के खिलाफ सुधार का परीक्षण करने के बाद एक अलग निष्कर्ष पर पहुंचा। इसके पोस्टमॉर्टम ने अंडरफ्लो मरम्मत को "नियंत्रण जो इस हमला पथ को बंद करता है" के रूप में वर्णित किया।
कॉसमॉस लैब्स ने दो श्रृंखलाबद्ध भेद्यताओं का वर्णन किया लेकिन किचेन के दावे को संबोधित नहीं किया कि एक और अपस्ट्रीम दोष अनसुलझा है।
इसी तरीके से तीन और चेन का शोषण किया गया, हालांकि कॉसमॉस लैब्स ने अपनी रिपोर्ट में उनकी पहचान नहीं की।
नेसा (Nesa) प्रभावित नेटवर्कों में से एक हो सकता है। बिटवावो (Bitvavo) ने 24 अगस्त को एनईएस जमा और निकासी निलंबित कर दी, जिसमें एक गंभीर सहमति भेद्यता का हवाला दिया गया था जिसका उपयोग कमजोर नोड्स को अमान्य ब्लॉक स्वीकार करने के लिए किया गया था।
ब्लॉकचेन एनालिटिक्स फर्म बबलमैप्स (Bubblemaps) ने 26 अगस्त के विश्लेषण में नेसा को प्रभावित चेन में से एक के रूप में पहचाना। फर्म ने कहा कि एक हमलावर ने लगभग $250,000 मूल्य के एनईएस खरीदे, इसे नेसा से जोड़ा, खामी का उपयोग करके शेष राशि को लगभग 200 गुना बढ़ा दिया और लगभग $50 मिलियन मूल्य के एनईएस को वापस एथेरियम में स्थानांतरित कर दिया।
बबलमैप्स के अनुसार, अधिकांश स्वैप प्रयासों को अत्यधिक स्लिपेज का सामना करना पड़ा क्योंकि ट्रेडिंग पूल से तरलता हटा दी गई थी, जिससे हमलावर को लगभग $60,000 का लाभ हुआ।
वॉलेट को मूल रूप से मोनेरो (Monero) के माध्यम से वित्त पोषित किया गया था। बबलमैप्स ने कहा कि फंडिंग विधि और हमलावर के व्यवहार में अंतर का मतलब यह हो सकता है कि नेसा एक्सप्लॉइट के लिए एक अलग पक्ष जिम्मेदार था।
शेष दो प्रभावित चेन की सार्वजनिक रूप से पहचान नहीं की गई है।
कॉसमॉस लैब्स ने कहा कि उसने अपनी प्रतिक्रिया के दौरान 40 नेटवर्कों के साथ समन्वय किया और 13 अन्य के साथ भेद्यता को पैच करने या हमला होने से पहले रोकने के लिए काम किया।
फर्म ने कहा कि वह कॉसमॉस इकोसिस्टम में काम कर रहे 115 से अधिक सार्वजनिक ब्लॉकचेन की पूरी रजिस्ट्री नहीं रखती है। इसकी प्रतिक्रिया ने 11 कॉसमॉस ईवीएम डिप्लॉयमेंट का खुलासा किया जो पहले टीम के साथ पंजीकृत नहीं थे।
इस बीच, मंत्रा को मौजूदा समर्थक इन्वेनियम कैपिटल पार्टनर्स (Inveniam Capital Partners) द्वारा अधिग्रहित किया जा रहा है, जिसने अगस्त 2025 में परियोजना में 20 मिलियन डॉलर का रणनीतिक निवेश किया था। लेनदेन के 2026 की तीसरी तिमाही में बंद होने की उम्मीद है, जिसमें मंत्रा चेन, इसका टोकन और संबंधित बुनियादी ढांचा इन्वेनियम के स्वामित्व में काम करना जारी रखेंगे।
MANTRA
KII
