Атака на Cosmos: как уязвимость в Cosmos EVM обернулась потерей $5,7 млн

Cosmos Labs признала, что недооценила серьезность уязвимости в модуле Cosmos EVM, что стало причиной атак на шесть различных блокчейнов с общим ущербом в $5,7 млн. В период с 20 по 25 августа злоумышленники воспользовались этой ошибкой, чтобы вывести средства из нескольких сетей на базе Cosmos. Компания заявила о намерении усилить меры безопасности и поблагодарила партнеров за поддержку.

Сообщение о проблеме поступило 25 апреля 2026 года через баг-баунти программу. После анализа команда решила, что сети в продакшен-конфигурации не находятся под угрозой, и выпустила исправление, не уведомив операторов. Однако в начале августа независимые исследователи выявили, что уязвимость затрагивает все сети на Cosmos EVM. В результате, патч был закамуфлирован и включен в релизы v0.6.2 и v0.7.2, опубликованные 19 августа, а атаки начались через 20 часов.

Cosmos Labs описала атаку как комбинацию underflow и overflow, где через вестинг-аккаунт и вредоносный контракт злоумышленники манипулировали балансами и переводили средства с крупных адресов. Новые токены не создавались, а общее предложение оставалось неизменным. Основной ущерб пришелся на MANTRA: сеть потеряла 720,9 млн MANTRA ($3,6 млн) из адреса сжигания и мультисиг-кошелька.

Cosmos Labs также зафиксировала потери в размере 2,99 млрд TAC, из которых 1,21 млрд был продан на BNB Chain за $950 000. KiiChain лишилась ~148,3 млн KII, часть которых оценивалась в $1,6 млн, и почти половина похищенного могла быть возвращена. Названия остальных трех затронутых сетей компания не раскрыла.

MANTRA и KiiChain выразили недовольство процессом раскрытия уязвимости, заявив, что 20 часов недостаточно для обновления 38 валидаторов без предварительного уведомления. В KiiChain также отметили, что рекомендация остановить сети была дана после атак на три блокчейна. В свою очередь, Cosmos Labs сообщила о координации с 40 сетями и выявлении 11 незарегистрированных развертываний Cosmos EVM среди более чем 115 блокчейнов.

Стоит отметить, что с января 2025 года по июль 2026 криптоплатформы понесли убытки в размере $3,63 млрд в 245 документально подтвержденных инцидентах, по данным CoinGecko.