Cosmos Labs ресми түрде Cosmos EVM модуліндегі багтың маңыздылығын төмен бағалағанын мойындады. Бұл қате 20-25 тамыз аралығында алты блокчейнге шабуылдар сериясына әкелді, ал жиынтық залал $5,7 млн құрады. Жағдай Cosmos экожүйесіндегі қауіпсіздікті үйлестірудегі жүйелік проблемаларды ашты.
Оқиғаның хронологиясы
Мәселе әлі 2026 жылдың 25 сәуірінде bug bounty бағдарламасы арқылы анықталды. Ішкі тестілеуден кейін команда продакшен-желілер қауіп аймағында емес деген қорытындыға келді және операторларға арнайы хабарламасыз жария патч шығарды. Алайда тамыздың басында тәуелсіз зерттеушілер осалдық Cosmos EVM-дегі барлық желілерге әсер ететінін дәлелдеді. Әзірлеушілерге 19 тамыз кешке шыққан v0.6.2 және v0.7.2 релиздеріне интеграциялай отырып, түзетуді шұғыл маскалауға тура келді. Бірінші шабуыл 20 сағаттан кейін тіркелді — бұл уақыт барлық валидаторлардың жаңартуына анық жеткіліксіз болды.
Эксплойттің техникалық детальдары
Cosmos Labs постмортемінде шабуыл механизмін ашты: зиянкестер underflow және overflow тізбегін қолданды. Арнайы жасалған вестинг-аккаунт пен зиянды контракт арқылы олар баланстарды қате қайта есептеуге қол жеткізді, содан кейін үлкен қалдықтары бар мекенжайлардан қаражат шығарды. Жаңа токендер эмиссияланбағанын атап өту маңызды — жалпы ұсыныс өзгеріссіз қалды, алайда нақты әмияндар зардап шекті.
Желілер бойынша шығын ауқымы
Ең үлкен соққы MANTRA-ға келді. Жағу мекенжайынан және ескі мультисиг-әмияннан 720,9 млн MANTRA (~$3,6 млн) шығарылды. Желі 20 тамызда тоқтатылып, 30 сағаттан кейін күйді кері қайтарусыз қайта іске қосылды. MANTRA клиенттік аккаунттар зардап шекпегенін сендірді, бірақ іс жүзінде бұрын экономикалық белсенді емес деп саналған токендер айналымға түсті.
TAC шығындары 2,99 млрд токенді құрады, оның шамамен 1,21 млрд-ы BNB Chain-де шамамен $950 000-ға сатылды. KiiChain шамамен 148,3 млн KII жоғалтты: 64,6 млн токен $1,6 млн-ға сатылды, ал ұрланғанның 54,4%-ы желіде қалып, қайтарылуы мүмкін. Қалған үш зардап шеккен желінің атауларын Cosmos Labs ашпады.
Сын және қарсы шаралар
MANTRA және KiiChain осалдықты ашу процесін қатаң сынға алды. Олардың айтуынша, 20 сағат — бөлек ескертусіз 38 валидатор арасында бағалау, тестілеу және жаңартуды үйлестіру үшін апатты түрде аз. KiiChain сондай-ақ желілерді тоқтату ұсынысы тек үш блокчейнге шабуыл жасалғаннан кейін айтылғанын атап өтті. Cosmos Labs жауап ретінде 40 желімен үйлестірілгенін және 115-тен астам жария блокчейн арасында 11 тіркелмеген Cosmos EVM орналастыруын анықтағанын мәлімдеді.
Менің пікірім: Бұл оқиға — тіпті mature-экожүйелердің желіаралық үйлестіру күрделілігін төмен бағалай алатынының жарқын мысалы. Коммуникациядағы кідіріс және тіркелмеген деплойменттерге жеткіліксіз назар — бүкіл индустрия үшін сабақ. Мультичейн әлеміндегі қауіпсіздік тек техникалық патчтарды ғана емес, сонымен қатар желінің барлық қатысушыларын, олардың көлеміне қарамастан, ашық және жедел хабардар етуді талап етеді.