Cosmos Labs повідомила, що зловмисники експлуатували критичну вразливість Cosmos EVM у шести блокчейн-мережах між 20 і 25 серпня, конвертувавши викрадені токени на суму близько 5,72 мільйона доларів США в інші активи через децентралізовані та централізовані біржі.
Cosmos Labs повідомила в технічному післяаварійному звіті, опублікованому в п'ятницю, що про вразливість вперше повідомили через її програму винагород за виявлення помилок 25 квітня, майже за чотири місяці до початку атак. Її тестери не змогли відтворити експлойт проти конфігурацій, які використовуються відомими виробничими мережами Cosmos EVM, і на той час дійшли висновку, що живі кошти користувачів не перебувають під загрозою.
На основі цієї оцінки розробники усунули вразливість шляхом тихого публічного виправлення замість приватного розповсюдження виправлення безпеки для уражених блокчейнів. Cosmos Labs об'єднала виправлення в травні, не повідомивши операторам мережі, яку саме вразливість воно усунуло.
Пізніше ця оцінка виявилася невірною після того, як незалежні дослідники на початку серпня встановили, що помилка зачіпає всі блокчейни Cosmos EVM. Cosmos Labs потім замаскувала виправлення, щоб ускладнити зворотну розробку, і випустила виправлені версії 19 серпня о 19:01 за східним часом.
У примітках до випуску згадувалися "важливі" виправлення безпеки без опису вразливості. Перша відома атака почалася 20 серпня о 15:06 за східним часом, приблизно через 20 годин після того, як виправлене програмне забезпечення стало доступним.
Вразливість полягала в цілочисельному недоповненні (integer underflow) в Cosmos EVM, сумісному з Ethereum фреймворку екосистеми, побудованому на базі відкритого вихідного коду Evmos.
Зловмисник міг спочатку створити обліковий запис, що містить заблоковані токени, і делегувати більше токенів валідатору, ніж обліковий запис міг витратити. Віднімання делегованої суми призводило до того, що баланс падав нижче нуля, змушуючи значення "обертатися" до максимально можливого значення 2^256-1 базових одиниць.
Потім зловмисник міг використовувати роздутий баланс проти іншого облікового запису. Надсилання суми на цільовий рахунок підштовхувало його зафіксований баланс за ту ж числову стелю, викликаючи переповнення, яке "обертало" значення вниз і залишало зловмисника з токенами цільового рахунку.
Жодних додаткових токенів через цей процес не створювалося, за даними Cosmos Labs, і загальна пропозиція токенів залишалася практично незмінною. MANTRA заявила, що експлойт змінив її пропозицію лише на одну базову одиницю, найменшу подільну номінал токена.
Cosmos Labs повідомила, що зловмисники націлювалися на рахунки з великими балансами, включаючи адреси спалювання (burn addresses) та мультипідписні гаманці, створені при запуску мереж. Її повідомлення класифікувало вразливість як критичну та ідентифікувало випуски Cosmos EVM до версій v0.6.2 та v0.7.2 як вразливі.
Цей інцидент стався після іншого розкриття інформації про безпеку, пов'язаного з програмним забезпеченням Cosmos на початку цього року. Crypto.news раніше повідомляв, що дослідник розкрив вразливість CometBFT у квітні, яка могла призвести до зупинки вузлів під час синхронізації блоків. Проблема CVSS 7.1 не дозволяла пряму крадіжку активів.
Після того, як незалежні дослідники підтвердили, що вразливість Cosmos EVM може зачіпати виробничі блокчейни, Cosmos Labs підготувала випуски безпеки, які були опубліковані 19 серпня.
Операторам мережі не було надано спеціального попередження про вразливість, що пояснює, що виправлення оновило. MANTRA пізніше заявила, що 20 годин було недостатньо для оцінки, побудови, тестування та координації оновлення, що змінює стан, серед 38 незалежних валідаторів.
«Двадцять годин — це нереалістичний проміжок часу для оцінки, побудови, тестування та координації оновлення, що порушує стан, серед 38 незалежних валідаторів, особливо без спеціального повідомлення про вразливість», — написала MANTRA у своєму післяаварійному звіті.
Інше розкриття відбулося до першої крадіжки. 20 серпня о 3:16 ранку за східним часом розробник Push Chain публічно надав зміну коду, що описує вразливість та шлях її експлуатації. У цьому повідомленні заслуга виявлення приписувалася аудиту фірми безпеки Hacken, і перераховувалися версії, що вважалися вразливими.
У повідомленні йшлося про те, що жодна випущена версія не містила виправлення, хоча в її таблиці версій були пропущені v0.6.2 та v0.7.2, які Cosmos Labs опублікувала приблизно вісьмома годинами раніше.
Cosmos Labs описала публікацію точного шляху експлуатації розробником нижчого рівня як «вкрай незвичайну» і заявила, що такі розкриття можуть підвищити ризик експлуатації вразливості.
MANTRA розмістила публічне виявлення вразливості за 11 годин 45 хвилин до першого зондування зловмисника. Однак гаманець зловмисника був поповнений майже за чотири години до подання виявлення.
«Ми констатуємо час як факт і не робимо з цього жодних висновків», — заявила MANTRA.
Виведення 472,70 MANTRA з рахунку клієнта на централізованій біржі профінансувало комісії за газ, використані протягом усієї атаки, згідно з мережею.
MANTRA зазнала найбільших публічно розкритих втрат від атак: 720,9 мільйона токенів MANTRA, тоді оцінених приблизно в 3,6 мільйона доларів, були викрадені з двох адрес.
Одна з них була адресою для спалювання токенів мережі. Друга — неактивний мультипідписний гаманець, що залишився від попередньої заохочувальної кампанії.
Жодне автоматичне попередження не було згенеровано, коли токени вперше перемістилися з адреси для спалювання, оскільки системи моніторингу MANTRA розглядали цю адресу як нерухому і не відстежували її на наявність вихідних транзакцій.
Атака залишалася непоміченою майже чотири години, даючи зловмиснику час спустошити неактивний мультипідписний гаманець.
MANTRA зупинила мережу 20 серпня о 19:13 за східним часом. Близько 38 мільйонів викрадених MANTRA залишалися замороженими в гаманці зловмисника, але 94,7% викрадених токенів вже були переведені на адресу депозиту централізованої біржі через 15 транзакцій.
Ланцюг залишався нездатним обробляти транзакції приблизно 30 годин. Crypto.news повідомляв під час перерви, що MANTRA зупинила транзакції, поки інженерні команди та команди безпеки розслідували інцидент, а біржі призупинили депозити та виведення коштів.
Валідатори пізніше розгорнули виправлене програмне забезпечення та відновили виробництво блоків без відкату ланцюга або зміни балансів користувачів. Версія 8.4.0 включала виправлення безпеки Cosmos EVM.
MANTRA додала нативну підтримку EVM до своєї основної мережі у вересні 2025 року разом із сумісністю з CosmWasm, дозволяючи додаткам Solidity та смарт-контрактам Cosmos-native працювати в мережі.
Станом на 28 серпня жодних викрадених токенів MANTRA не було повернуто, згідно з проектом.
Її обігова пропозиція збільшилася приблизно на 720,9 мільйона токенів, оскільки активи, що зберігаються на рахунках, раніше класифікованих як неможливі для витрачання, включаючи адресу спалювання, стали обмінюваними після їх переміщення зловмисником.
За даними Cosmos Labs, 22 серпня той самий метод було використано проти TAC. Майже 3 мільярди TAC було викрадено зі стейкінгового пулу мережі.
TAC призначений для надання децентралізованих фінансових програм користувачам TON та Telegram. Близько 1,2 мільярда викрадених токенів були продані на BNB Chain приблизно за 950 000 доларів.
KiiChain була атакована того ж вечора, втративши приблизно 148 мільйонів KII. Близько 64,6 мільйона токенів було продано приблизно за 1,6 мільйона доларів.
Cosmos Labs оцінила, що близько 54% викрадених KII залишаються відновлюваними в блокчейні, якщо мережа буде відновлена.
У своєму технічному післяаварійному звіті від 23 серпня KiiChain розкритикував спосіб повідомлення про вразливість мережам нижчого рівня. Проект заявив, що Cosmos Labs не надала попереднього повідомлення, не визначила випуск як критичний для безпеки і спочатку не повідомила постраждалим блокчейнам про необхідність зупинки.
«Виправлення вимагає днів для перегляду, збірки, тестування та розгортання в наборі валідаторів. Зупинка займає хвилини», — написала KiiChain. «Єдиним заходом, який негайно стримав би ризик, була чітка інструкція припинити виробництво блоків, і ця інструкція надійшла після того, як шкода була завдана».
Cosmos Labs рекомендувала вразливим мережам зупинитися 22 серпня, після того, як MANTRA, TAC та KiiChain вже були атаковані.
KiiChain також оскаржила частину технічної оцінки, заявивши, що для здійснення експлойту потрібні три вищестоящі дефекти, і що лише недоповнення було публічно виправлено.
MANTRA дійшла іншого висновку після тестування виправлення проти робочої репродукції експлойту. Її післяаварійний звіт описав виправлення недоповнення як «контроль, який закриває цей шлях атаки».
Cosmos Labs описала дві пов'язані вразливості, але не розглядала твердження KiiChain про те, що інший вищестоящий дефект залишається невирішеним.
Три інші блокчейни були експлуатовані за тим самим методом, хоча Cosmos Labs не ідентифікувала їх у своєму звіті.
Nesa, можливо, була однією з постраждалих мереж. Bitvavo призупинила депозити та виведення NES 24 серпня, посилаючись на критичну вразливість консенсусу, яка була використана для змушення вразливих вузлів приймати недійсні блоки.
Блокчейн-аналітична фірма Bubblemaps ідентифікувала Nesa як один із постраждалих ланцюгів у своєму аналізі від 26 серпня. Фірма заявила, що зловмисник придбав NES на суму близько 250 000 доларів, перевів їх на Nesa, використав вразливість для збільшення балансу приблизно в 200 разів і перевів приблизно 50 мільйонів доларів NES назад до Ethereum.
Більшість спроб обмінів зазнали екстремального прослизання, оскільки ліквідність була вилучена з торгових пулів, залишивши зловмиснику близько 60 000 доларів прибутку, згідно з Bubblemaps.
Гаманець спочатку був поповнений через Monero. Bubblemaps заявила, що відмінності в методі фінансування та поведінці зловмисника означали, що за експлойт Nesa могла бути відповідальна інша сторона.
Решта двох постраждалих ланцюгів публічно не ідентифіковані.
Cosmos Labs заявила, що координувала свої дії з 40 мережами під час реагування та працювала з 13 іншими, щоб виправити вразливість або зупинити роботу, перш ніж їх атакували.
Фірма заявила, що не веде повного реєстру з понад 115 публічних блокчейнів, що працюють в екосистемі Cosmos. Її відповідь виявила 11 розгортань Cosmos EVM, які раніше не були зареєстровані командою.
Тим часом MANTRA купується існуючим спонсором Inveniam Capital Partners, яка зробила стратегічну інвестицію в проект у розмірі 20 мільйонів доларів у серпні 2025 року. Очікується, що транзакція буде завершена в третьому кварталі 2026 року, при цьому MANTRA Chain, її токен та пов'язана інфраструктура продовжать працювати під власністю Inveniam.
MANTRA
KII
