Cosmos Labs a exhorté les chaînes Cosmos EVM concernées à demander l'arrêt des validateurs le 25 août, alors que ses équipes de sécurité et d'ingénierie répondaient à un incident qui avait déjà touché plusieurs réseaux.
Résumé
- Cosmos Labs a conseillé aux chaînes Cosmos EVM contactées de demander aux validateurs de s'arrêter pendant la réponse à l'incident.
- KiiChain a signalé que 148 326 583,15 KII ont été drainés lors de 18 attaques répétées le 22 août 2026, officiellement confirmé.
- TAC a déclaré qu'un compte a été drainé avant que les validateurs n'arrêtent son réseau au bloc 24 671 samedi.
- MANTRA a repris la production de blocs après environ 30 heures et a déclaré que les soldes des utilisateurs étaient restés inchangés tout au long.
- Cosmos Labs n'a pas divulgué publiquement à ce jour les chaînes concernées, les détails de la vulnérabilité ou les pertes globales.
La société n'a pas identifié la vulnérabilité sous-jacente, les chaînes concernées ou les pertes totales dans sa déclaration initiale. Elle a déclaré que les utilisateurs du module Cosmos EVM avaient été affectés et a promis un rapport d'incident après la résolution de la situation.
Des divulgations séparées de MANTRA, TAC et KiiChain relient les attaques récentes à la pile logicielle Cosmos EVM. Cependant, Cosmos Labs n'a pas publiquement confirmé que ces incidents partagent une vulnérabilité exacte ni nommé toutes les chaînes invitées à s'arrêter.
Les chaînes Cosmos EVM reçoivent des conseils d'arrêt d'urgence
Cosmos EVM est une pile logicielle partagée qui permet aux chaînes Cosmos SDK d'exécuter des contrats intelligents compatibles Ethereum. Une vulnérabilité dans un module commun peut donc exposer des réseaux indépendants exécutant des versions ou configurations affectées.
Un arrêt empêche de nouvelles transactions de se régler pendant que les développeurs enquêtent et distribuent un correctif. Il bloque également temporairement les transferts réguliers, les applications et les retraits qui dépendent de la chaîne affectée.
Cosmos Labs a dirigé les autres équipes Cosmos EVM ayant des questions vers son adresse e-mail de sécurité. Il n'a pas publié de version logicielle, d'instructions d'atténuation ou de calendrier de redémarrage, probablement pour éviter de révéler des détails exploitables avant que les chaînes ne soient protégées.
KiiChain et TAC divulguent des drainages de jetons
KiiChain a déclaré qu'un attaquant a drainé 148 326 583,15 KII de portefeuilles le 22 août. Son rapport d'incident a déclaré que l'attaquant a répété la technique 18 fois avant que les validateurs n'arrêtent le réseau au bloc 9 355 723.
L'équipe a lié l'attaque à une vulnérabilité Cosmos EVM impliquant les comptes de vesting, les opérations de staking et la gestion des soldes. KiiChain a déclaré que l'attaquant a ponté une partie des actifs vers BNB Smart Chain via Hyperlane. L'équipe n'a pas identifié Hyperlane lui-même comme le composant vulnérable.
TAC a séparément déclaré qu'un attaquant a exploité une faiblesse dans la couche de précompilation Cosmos EVM le 22 août et a drainé un compte. Les validateurs ont arrêté TAC au bloc 24 671, selon sa mise à jour officielle.
Les divulgations des projets établissent que les deux réseaux ont subi des mouvements d'actifs non autorisés. Cosmos Labs n'a pas encore publié de calcul de perte globale ni confirmé si le même attaquant contrôlait toutes les adresses impliquées.
MANTRA a redémarré après un arrêt de 30 heures
MANTRA a arrêté son réseau le 20 août après avoir détecté une activité impliquant deux portefeuilles gérés par le projet. L'équipe a isolé l'incident à son module Cosmos EVM et a déployé une version mise à jour avant de coordonner un redémarrage des validateurs.
Comme précédemment rapporté, MANTRA a repris la production de blocs après un arrêt d'environ 30 heures. Il a redémarré à partir d'un instantané au bloc 17 449 398 sans annuler l'état enregistré de la chaîne.
MANTRA a déclaré qu'« aucun fonds d'utilisateur n'a été affecté », mais son autopsie complète et sa comptabilité détaillée des actifs restent non publiées.
L'équipe a déclaré que les soldes étaient inchangés et que les deux adresses concernées appartenaient à son infrastructure de portefeuille interne. Cette déclaration ne permet pas d'établir si des actifs contrôlés par le projet ont été déplacés ni de quantifier d'éventuelles tentatives de retrait.
Ces incidents font suite à une faille antérieure de Cosmos EVM impliquant le précompile ICS20. Un avis de sécurité de mars indiquait qu'une gestion incorrecte de l'état lors d'une exécution imbriquée permettait d'utiliser le même solde de jetons à plusieurs reprises dans une seule transaction.
Ce problème antérieur a causé une perte estimée à 7 millions de dollars sur SagaEVM en janvier. Dans une couverture connexe, SagaEVM a été suspendu après que des actifs pontés ont été compromis. Il reste non confirmé si les attaques d'août ont utilisé cette faille exacte, un chemin d'exécution connexe ou une vulnérabilité distincte.
Le post-mortem de Cosmos Labs déterminera la portée
Les priorités immédiates sont d'identifier chaque déploiement vulnérable, de distribuer un correctif testé et de confirmer que les chaînes affectées peuvent redémarrer en toute sécurité. Les validateurs auront besoin d'instructions de mise à niveau coordonnées avant de reprendre la production de blocs.
Le rapport promis par Cosmos Labs devrait identifier le composant défectueux, les versions affectées, la chronologie de l'exploitation et les pertes totales. Il devrait également expliquer si MANTRA, TAC et KiiChain ont été compromis via le même chemin de code.
Jusqu'à la publication de ce rapport, d'autres équipes utilisant Cosmos EVM pourraient maintenir les réseaux arrêtés ou désactiver les fonctionnalités affectées. Les utilisateurs devraient se fier aux pages de statut officielles des chaînes et éviter les transactions via des interfaces non vérifiées ou des outils de récupération prétendus.
