Cosmos subestimou um bug crítico durante 4 meses antes que hackers roubassem quase 6 milhões de dólares em 6 cadeias

Uma vulnerabilidade do Cosmos EVM explorada em seis redes, incluindo a MANTRA, expôs uma falha de segurança que abrange cerca de 40 blockchains.

No dia 28 de agosto, a Cosmos Labs afirmou que a mesma falha contábil foi explorada em seis redes, incluindo MANTRA, TAC e KiiChain, antes que uma resposta de emergência se espalhasse por todo o ecossistema Cosmos EVM.

Os atacantes converteram cerca de 2,87 milhões de dólares através de exchanges descentralizadas e estimados 2,85 milhões de dólares através de plataformas centralizadas, de acordo com um relatório de segurança da Cosmos. As contas conectadas à atividade da exchange centralizada foram posteriormente congeladas.

A MANTRA sofreu o maior impacto detalhado publicamente. Uma carteira não privilegiada transferiu cerca de 720,9 milhões de tokens de dois endereços que não haviam autorizado as transações de 20 de agosto, sem comprometer chaves de validadores, administradores, governança ou multisig.

A vulnerabilidade afetou o ecossistema mais amplo Cosmos/EVM, que é uma camada de software compartilhada que confere funcionalidade compatível com Ethereum às cadeias do Cosmos SDK. Após o início dos ataques, a Cosmos Labs contatou 40 redes e disse que 13 outras cadeias potencialmente expostas corrigiram, interromperam ou aplicaram mitigação antes de serem exploradas.

A resposta também revelou 11 implementações do Cosmos EVM que a Cosmos Labs não conhecia anteriormente através de seus canais de comunicação de segurança.

Esse alcance potencial está dentro de um ecossistema Cosmos mais amplo avaliado em mais de 7 bilhões de dólares, de acordo com os dados do CryptoSlate. Enquanto isso, esse valor inclui projetos que podem não ter utilizado o software vulnerável e não representa a quantidade diretamente exposta.

Cosmos inicialmente subestimou a vulnerabilidade

A Cosmos Labs revelou que a falha havia sido relatada meses antes de ser explorada pelos atacantes.

A empresa disse que recebeu o relatório inicial sobre a vulnerabilidade em 25 de abril, mas concluiu após testes que a vulnerabilidade afetava redes com seis casas decimais, enquanto as cadeias de produção conhecidas do Cosmos EVM utilizavam 18 casas decimais. Os engenheiros, portanto, acreditavam que as redes implantadas não estavam em risco.

De acordo com a empresa:

"Com base nessa avaliação, a Cosmos Labs tratou a vulnerabilidade através de seu processo de correção pública silenciosa, em vez do processo de distribuição de correções privadas utilizado quando uma vulnerabilidade é considerada uma ameaça aos fundos dos usuários ao vivo."

Uma correção foi mesclada na base de código principal em 15 de maio e tratada como uma correção pública silenciosa, em vez de um lançamento de segurança de emergência. Ao mesmo tempo, não foi imediatamente retroportada para versões mais antigas porque a mudança era disruptiva e exigia atualizações coordenadas.

Essa avaliação mudou no início de agosto, quando novas pesquisas mostraram que as implementações do Cosmos EVM eram vulneráveis, independentemente de sua configuração decimal.

As versões corrigidas v0.6.2 e v0.7.2 chegaram no final de 19 de agosto. Na manhã seguinte, um pedido de pull público em um fork de outro projeto descreveu a vulnerabilidade e o caminho de exploração. A primeira transação não autorizada conhecida da MANTRA ocorreu menos de 12 horas depois.

A falha combinou duas falhas contábeis. Um atacante poderia acionar um subfluxo de inteiro não assinado que criava um saldo anormalmente grande, e então usar esse estado para transbordar outra conta e extrair seu saldo legítimo sem aumentar a oferta total de tokens.

A TAC relatou exploração aproximadamente 45 horas após a MANTRA, com a KiiChain seguindo logo depois. A Cosmos Labs, subsequentemente, recomendou que as cadeias do Cosmos EVM interrompessem e atualizassem enquanto coordenava a resposta mais ampla.

A MANTRA absorveu o maior impacto divulgado

Na MANTRA, o atacante moveu aproximadamente 600 milhões de tokens de um endereço de queima e outros 120,9 milhões de um multisig da era genesis legado.

Nenhum novo token foi cunhado. Em vez disso, saldos anteriormente inertes tornaram-se transferíveis, aumentando a oferta circulante em cerca de 720,9 milhões de MANTRA.

O projeto avaliou o movimento em cerca de 3,6 milhões de dólares usando o preço pré-incidente. Em 28 de agosto, nenhum token havia sido recuperado. Cerca de 38 milhões permaneceram imobilizados na conta do atacante, enquanto o restante foi rastreado através de rotas de exchange e encaminhado para plataformas e autoridades policiais.

A MANTRA também reconheceu que sua monitorização falhou em sinalizar a primeira transação por quase quatro horas porque tratou o endereço de queima como incapaz de mover fundos. A cadeia foi interrompida 14 minutos após um segundo débito não autorizado, resultando em uma interrupção de cerca de 30 horas.

A MANTRA caiu para um mínimo histórico após o ataque antes de se recuperar cerca de 14% para aproximadamente 0,004744 dólares após o relatório pós-morte.

As repercussões mais amplas levaram a Cosmos Labs a revisar seus procedimentos de triagem e divulgação de vulnerabilidades após uma falha inicialmente considerada improvável de ameaçar cadeias de produção, que acabou atingindo seis redes e forçou ações de emergência em dezenas de outras.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.