Cosmos Labs sous le feu des critiques pour un problème de divulgation de bug, recommandation d'arrêt pour les chaînes EVM affectées

Cosmos Labs sous le feu des critiques pour un problème de divulgation de bug, recommandation d'arrêt pour les chaînes EVM affectées

Une grave faille de sécurité a été découverte dans les modules partagés constituant l'infrastructure EVM de Cosmos, entraînant des attaques qui ont touché plusieurs réseaux de blockchain.

Plus précisément, il semble qu'une combinaison de plusieurs défauts en amont, tels qu'une erreur de calcul dans le traitement du staking, ait créé cette vulnérabilité. Parmi les réseaux touchés, MANTRA et Nesa ont pu éviter des impacts directs sur les fonds des utilisateurs grâce à des mesures préventives d'arrêt de chaîne.

En revanche, KiiChain a subi un vol d'environ 150 millions de KII, équivalent à 9 millions de dollars (environ 1,43 milliard de yens) au prix théorique de l'époque, entraînant une chute du prix du token. De plus, environ 30 milliards de TAC, soit environ 7,5 millions de dollars (environ 1,19 milliard de yens), ont été retirés d'un contrat de staking, entraînant des pertes considérables.

Critiques croissantes de la communauté sur le processus de divulgation d'informations

Dans cette série d'incidents, la communauté de la sécurité dans le secteur des actifs numériques et les projets touchés ont le plus fortement critiqué le processus de partage d'informations de Cosmos Labs, le développeur du module.

Après la découverte de la situation, Cosmos Labs a rapidement recommandé l'arrêt des opérations des chaînes EVM affectées. Cependant, la divulgation des corrections de vulnérabilités effectuées précédemment a été traitée de manière proche du modèle de patch silencieux (corrections postérieures non publiques), ce qui a été jugé extrêmement insuffisant.

Retards dans la réponse et défis futurs

Selon le rapport de vérification publié par KiiChain, lorsque des correctifs importants ont été publiés dans le dépôt à la mi-août, aucune notification individuelle n'a été faite aux chaînes affectées, et aucune alerte suffisante concernant l'importance n'a été émise. Par conséquent, des attaquants ont pu exploiter la vulnérabilité avant que le patch ne soit appliqué, après avoir analysé les mises à jour du code.

Il a été suggéré que si une notification non publique avait été faite à l'avance, suivie d'une communication claire sur les mesures d'arrêt d'urgence, les dommages auraient pu être minimisés. Cosmos Labs prévoit de soumettre un rapport d'incident détaillé, mais cet incident soulève de grandes questions sur le processus d'ajustement et de divulgation des informations sur les vulnérabilités (Coordinated Disclosure) au sein des fournisseurs d'infrastructure.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.