Cosmos Labs признаёт ошибку, ущерб от атак превысил $5,7 млн

Cosmos Labs признала свою ошибку в недооценке уязвимости в модуле Cosmos EVM, что привело к атакам на шесть блокчейнов с общим ущербом в $5,7 млн. С 20 по 25 августа злоумышленники использовали эту уязвимость для вывода средств из нескольких блокчейнов на базе Cosmos. Компания пообещала усилить свои системы безопасности и выразила благодарность за сотрудничество.

О проблеме стало известно 25 апреля 2026 года через программу баг-баунти. Несмотря на проведённые тесты, команда решила, что сети в продакшен-конфигурации в безопасности, и выпустила исправление без предупреждения операторов. Однако в начале августа исследователи показали, что уязвимость влияет на все сети Cosmos EVM. Патч был замаскирован и выпущен 19 августа, а первая атака произошла спустя 20 часов.

В отчёте Cosmos Labs описала атаку как комбинацию underflow и overflow, что позволило злоумышленникам некорректно пересчитывать баланс и переводить средства с крупных адресов. Компания уверяет, что новые токены не создавались и общее предложение не изменилось.

Наибольший ущерб понесла сеть MANTRA: из неё вывели 720,9 млн токенов на сумму $3,6 млн. Сеть остановили 20 августа и возобновили работу через 30 часов, не откатывая состояние. MANTRA сообщила, что клиентские аккаунты не пострадали, но в оборот попали ранее неактивные токены.

Cosmos Labs также оценила потери TAC в 2,99 млрд токенов, из которых 1,21 млрд продали на BNB Chain за $950 000. KiiChain потеряла около 148,3 млн токенов, из которых 64,6 млн продали за $1,6 млн, а 54,4% всё ещё могут быть возвращены.

MANTRA и KiiChain раскритиковали процесс раскрытия информации. Первая сеть указала, что 20 часов было недостаточно для координации между 38 валидаторами. В KiiChain отметили, что рекомендация остановить сеть поступила после атак на три блокчейна.

В ответ Cosmos Labs заявила, что взаимодействовала с 40 сетями и выявила 11 незарегистрированных развертываний Cosmos EVM среди 115 публичных блокчейнов. С января 2025 года по июль 2026 года криптоплатформы потеряли $3,63 млрд в 245 инцидентах, по данным CoinGecko.