Cosmos Labs a révélé que des attaquants ont exploité une vulnérabilité critique de Cosmos EVM sur six réseaux de blockchain entre le 20 et le 25 août, convertissant les jetons volés en environ 5,72 millions de dollars d'actifs via des échanges décentralisés et centralisés.
Résumé
- Des attaquants ont exploité une faille critique de Cosmos EVM sur six réseaux entre le 20 et le 25 août, convertissant les jetons volés en environ 5,72 millions de dollars d'autres actifs.
- Cosmos Labs a reçu le rapport de vulnérabilité en avril mais a initialement conclu que les réseaux de production n'étaient pas à risque et a géré le correctif via son processus de correctif silencieux.
- MANTRA a perdu 720,9 millions de jetons d'une valeur d'environ 3,6 millions de dollars, tandis que TAC et KiiChain ont ensuite subi des attaques distinctes utilisant la même méthode.
- La première attaque a commencé environ 20 heures après la publication des versions corrigées de Cosmos EVM sans avis de vulnérabilité spécifique aux opérateurs de réseau.
- Cosmos Labs a coordonné avec 40 chaînes pendant la réponse et a aidé 13 réseaux à corriger ou à arrêter avant qu'ils ne puissent être attaqués.
Cosmos Labs a déclaré dans un post-mortem technique publié vendredi que la faille avait été signalée pour la première fois via son programme de bug bounty le 25 avril, près de quatre mois avant le début des attaques. Ses testeurs n'ont pas pu reproduire l'exploit contre les configurations utilisées par les réseaux Cosmos EVM de production connus et ont conclu à l'époque que les fonds des utilisateurs en direct n'étaient pas à risque.
Sur la base de cette évaluation, les développeurs ont traité la vulnérabilité via un correctif public silencieux au lieu de distribuer privément un correctif de sécurité aux chaînes affectées. Cosmos Labs a fusionné le correctif en mai sans dire aux opérateurs de réseau quelle vulnérabilité il corrigeait.
L'évaluation s'est ensuite avérée incorrecte après que des chercheurs indépendants ont établi début août que le bug affectait toutes les chaînes Cosmos EVM. Cosmos Labs a alors obscurci le correctif pour rendre l'ingénierie inverse plus difficile et a publié des versions corrigées à 19h01 HE le 19 août.
Les notes de version mentionnaient des correctifs de sécurité "importants" sans décrire la vulnérabilité. La première attaque connue a commencé à 15h06 HE le 20 août, environ 20 heures après la disponibilité du logiciel corrigé.
La faille Cosmos EVM a permis aux attaquants de drainer de grands comptes
La vulnérabilité impliquait un sous-dépassement d'entier dans Cosmos EVM, le cadre compatible Ethereum de l'écosystème construit à partir du code source ouvert Evmos.
Un attaquant pouvait d'abord créer un compte contenant des jetons verrouillés et déléguer plus de jetons à un validateur que le compte ne pouvait en dépenser. La soustraction du montant délégué faisait tomber le solde en dessous de zéro, faisant en sorte que la valeur s'enroule autour du chiffre maximal possible de 2^256-1 unités de base.
L'attaquant pouvait ensuite utiliser le solde gonflé contre un autre compte. L'envoi du montant à une cible poussait son solde enregistré au-delà du même plafond numérique, provoquant un dépassement qui enroulait la valeur vers le bas et laissait l'attaquant en possession des jetons de la cible.
Aucun jeton supplémentaire n'a été créé au cours du processus, selon Cosmos Labs, et l'offre totale de jetons est restée effectivement inchangée. MANTRA a déclaré que l'exploit n'avait modifié son offre que d'une seule unité de base, la plus petite dénomination divisible du jeton.
Cosmos Labs a déclaré que les attaquants ciblaient des comptes détenant de grands soldes, y compris des adresses de brûlage et des portefeuilles multisignature créés lors du lancement des réseaux. Son avis a classé la faille comme critique et a identifié les versions de Cosmos EVM antérieures à v0.6.2 et v0.7.2 comme vulnérables.
L'incident a suivi une autre divulgation de sécurité impliquant le logiciel Cosmos plus tôt cette année. Crypto.news a précédemment rapporté qu'un chercheur avait divulgué une faille CometBFT en avril qui pouvait provoquer l'arrêt des nœuds pendant la synchronisation des blocs. Le problème CVSS 7.1 ne permettait pas le vol direct d'actifs.
Les réseaux ont eu environ 20 heures après le correctif
Une fois que des chercheurs indépendants ont confirmé que la faille Cosmos EVM pouvait affecter les chaînes de production, Cosmos Labs a préparé les versions de sécurité qui sont entrées en vigueur le 19 août.
Les opérateurs de réseau n'ont pas reçu d'avertissement spécifique à la vulnérabilité expliquant ce que la mise à niveau corrigeait. MANTRA a déclaré plus tard que 20 heures n'étaient pas suffisantes pour évaluer, construire, tester et coordonner une mise à niveau cassant l'état sur ses 38 validateurs indépendants.
« Vingt heures n'étaient pas une fenêtre réaliste pour évaluer, construire, tester et coordonner une mise à niveau cassant l'état à travers 38 validateurs indépendants, en particulier sans un avis spécifique à la vulnérabilité », a écrit MANTRA dans son rapport post-mortem.
Une autre divulgation a eu lieu avant le premier vol. À 3 h 16 HNE le 20 août, un développeur de Push Chain a publiquement soumis un changement de code décrivant la vulnérabilité et son chemin d'exploitation. Le dépôt attribuait la découverte à un audit de la société de sécurité Hacken et listait les versions considérées comme vulnérables.
La soumission indiquait qu'aucune version publiée ne contenait le correctif, bien que son tableau de versions omettait les versions v0.6.2 et v0.7.2, que Cosmos Labs avait publiées environ huit heures plus tôt.
Cosmos Labs a décrit la publication d'un chemin d'exploitation exact par un développeur en aval comme « très inhabituelle » et a déclaré que de telles divulgations peuvent augmenter le risque qu'une vulnérabilité soit exploitée.
MANTRA a placé la découverte de sécurité publique 11 heures et 45 minutes avant la première sonde de l'attaquant. Cependant, le portefeuille de l'attaquant avait été financé près de quatre heures avant le dépôt de la découverte.
« Nous énonçons le moment comme un fait et n'en tirons aucune conclusion », a déclaré MANTRA.
Un retrait de 472,70 MANTRA d'un compte client sur une bourse centralisée a financé les frais de gaz utilisés tout au long de l'attaque, selon le réseau.
MANTRA a perdu 3,6 millions de dollars avant d'arrêter sa chaîne
MANTRA a subi la plus grande perte publiquement divulguée des attaques, avec 720,9 millions de jetons MANTRA alors évalués à environ 3,6 millions de dollars retirés de deux adresses.
L'une était l'adresse de brûlage du réseau. La seconde était un portefeuille multisignature dormant laissé par une campagne d'incitation antérieure.
Aucun avertissement automatisé n'a été généré lorsque les jetons ont d'abord été déplacés de l'adresse de brûlage car les systèmes de surveillance de MANTRA traitaient l'adresse comme immuable et ne la surveillaient pas pour les transactions sortantes.
L'attaque est restée non détectée pendant près de quatre heures, donnant à l'attaquant le temps de vider le portefeuille multisig dormant.
MANTRA a arrêté le réseau à 19 h 13 HNE le 20 août. Environ 38 millions de MANTRA volés sont restés gelés dans le portefeuille de l'attaquant, mais 94,7 % des jetons volés avaient déjà été transférés vers une adresse de dépôt d'une bourse centralisée via 15 transactions.
La chaîne est restée incapable de traiter les transactions pendant environ 30 heures. Crypto.news a rapporté pendant l'interruption que MANTRA a interrompu les transactions pendant que les équipes d'ingénierie et de sécurité enquêtaient sur l'incident et que les bourses suspendaient les dépôts et les retraits.
Les validateurs ont ensuite déployé un logiciel corrigé et repris la production de blocs sans restaurer la chaîne ni modifier les soldes des utilisateurs. La version 8.4.0 incluait le correctif de sécurité Cosmos EVM.
MANTRA avait ajouté le support EVM natif à son mainnet en septembre 2025 en plus de la compatibilité CosmWasm, permettant aux applications Solidity et aux contrats intelligents natifs Cosmos de fonctionner sur le réseau.
Aucun jeton MANTRA volé n'avait été récupéré au 28 août, selon le projet.
Son offre en circulation a augmenté d'environ 720,9 millions de jetons car les actifs détenus dans des comptes précédemment classés comme non dépensables, y compris l'adresse de brûlage, sont devenus négociables après avoir été déplacés par l'attaquant.
TAC et KiiChain ont été touchés après MANTRA
La même méthode a été utilisée contre TAC le 22 août, selon Cosmos Labs. Près de 3 milliards de TAC ont été retirés du pool de jalonnement du réseau.
TAC est conçu pour apporter des applications de finance décentralisée aux utilisateurs de TON et Telegram. Environ 1,2 milliard des jetons volés ont été vendus sur BNB Chain pour environ 950 000 $.
KiiChain a été attaqué ce soir-là, perdant environ 148 millions de KII. Environ 64,6 millions de jetons ont été vendus pour environ 1,6 million de dollars.
Cosmos Labs a estimé qu'environ 54 % des KII volés restent récupérables en chaîne si le réseau est restauré.
Dans son analyse post-incident technique du 23 août, KiiChain a critiqué la manière dont la vulnérabilité avait été communiquée aux réseaux en aval. Le projet a déclaré que Cosmos Labs n'avait pas fourni de préavis, n'avait pas identifié la version comme critique pour la sécurité et n'avait pas initialement demandé aux chaînes concernées de s'arrêter.
« Un correctif prend des jours à examiner, construire, tester et déployer sur un ensemble de validateurs. Un arrêt prend des minutes », a écrit KiiChain. « La seule mesure qui aurait pu contenir le risque immédiatement était une instruction claire d'arrêter la production de blocs, et cette instruction est arrivée après que les dégâts aient été faits. »
Cosmos Labs a recommandé aux réseaux vulnérables de s'arrêter le 22 août, après que MANTRA, TAC et KiiChain aient déjà été touchés.
KiiChain a également contesté une partie de l'évaluation technique, affirmant que trois défauts en amont étaient nécessaires pour exécuter l'exploit et que seul le sous-dépassement avait été corrigé publiquement.
MANTRA est arrivé à une conclusion différente après avoir testé le correctif contre une reproduction fonctionnelle de l'exploit. Son analyse post-incident a décrit la réparation du sous-dépassement comme « le contrôle qui ferme cette voie d'attaque ».
Cosmos Labs a décrit deux vulnérabilités enchaînées mais n'a pas répondu à l'affirmation de KiiChain selon laquelle un autre défaut en amont reste non résolu.
Trois autres réseaux Cosmos EVM ont été attaqués
Trois autres chaînes ont été exploitées avec la même méthode, bien que Cosmos Labs ne les ait pas identifiées dans son rapport.
Nesa pourrait avoir été l'un des réseaux affectés. Bitvavo a suspendu les dépôts et retraits de NES le 24 août, citant une vulnérabilité critique de consensus qui avait été exploitée pour faire accepter des blocs invalides par des nœuds vulnérables.
La société d'analyse blockchain Bubblemaps a identifié Nesa comme l'une des chaînes affectées dans une analyse du 26 août. La société a déclaré qu'un attaquant avait acheté environ 250 000 $ de NES, les avait transférés vers Nesa, avait utilisé la faille pour augmenter le solde d'environ 200 fois et avait transféré environ 50 millions de dollars en NES vers Ethereum.
La plupart des tentatives d'échange ont subi un glissement extrême alors que la liquidité était retirée des pools de trading, laissant à l'attaquant un profit d'environ 60 000 $, selon Bubblemaps.
Le portefeuille avait été initialement financé via Monero. Bubblemaps a déclaré que les différences dans la méthode de financement et le comportement de l'attaquant signifiaient qu'une partie distincte pourrait être responsable de l'exploit de Nesa.
Les deux autres chaînes affectées n'ont pas été identifiées publiquement.
Cosmos Labs a déclaré avoir coordonné avec 40 réseaux lors de sa réponse et avoir travaillé avec 13 autres pour corriger la vulnérabilité ou s'arrêter avant d'être attaqués.
La société a déclaré qu'elle ne tient pas un registre complet des plus de 115 blockchains publiques fonctionnant dans l'écosystème Cosmos. Sa réponse a révélé 11 déploiements Cosmos EVM qui n'avaient pas été précédemment enregistrés auprès de l'équipe.
MANTRA, quant à lui, est en cours d'acquisition par son bailleur de fonds existant Inveniam Capital Partners, qui avait réalisé un investissement stratégique de 20 millions de dollars dans le projet en août 2025. La transaction devrait être conclue au troisième trimestre 2026, avec MANTRA Chain, son jeton et son infrastructure associée qui continueront à fonctionner sous la propriété d'Inveniam.
