Тамыз айының соңында Cosmos экожүйесінің блокчейндеріне жасалған шабуылдар Cosmos Labs жұмысындағы елеулі қателікті анықтады. Компания Cosmos EVM модуліндегі осалдықтың маңыздылығын қате бағалағанын мойындады, бұл алты желі үшін жалпы $5,7 млн көлемінде шығынға әкелді.
Оқиғаның хронологиясы
Мәселе 2026 жылдың 25 сәуірінде bug bounty бағдарламасы арқылы анықталды. Ішкі тестілеуден кейін команда продакшен-желілер қауіпке ұшырамайды деген қорытындыға келді және операторларды хабардар етпей-ақ ашық патч шығарды. Алайда тамыз айының басында тәуелсіз зерттеушілер керісінше дәлелдеді — осалдық Cosmos EVM-дегі барлық желілерге әсер етеді. Әзірлеушілерге түзетуді жасыруға тура келді, оны 19 тамыз кешке жарияланған v0.6.2 және v0.7.2 релиздеріне интеграциялады. Алғашқы шабуыл 20 сағаттан кейін жасалды.
Техникалық мәліметтер
Cosmos Labs өзінің постмортемінде шабуылды underflow және кейінгі overflow комбинациясы ретінде сипаттайды. Шабуылдаушы арнайы жасалған вестинг-аккаунт пен зиянды контрактты пайдаланып, баланстардың қате қайта есептелуін тудырды және ірі қалдықтары бар адрестерден қаражатты шығарды. Жаңа токендер эмиссияланбағанын атап өту маңызды — жалпы ұсыныс өзгеріссіз қалды.
Шығын ауқымы
Ең үлкен шығынды MANTRA желісі көрді: өртеу адресі мен ескі мультисиг-әмияннан 720,9 млн MANTRA (~$3,6 млн) шығарылды. Желі 20 тамызда тоқтатылып, 30 сағаттан кейін күйді кері қайтармай қалпына келтірілді. MANTRA клиенттік аккаунттар зардап шекпегенін мәлімдесе де, бұрын экономикалық белсенді емес деп саналған токендер айналымға түсті.
TAC шығыны 2,99 млрд токенді құрады, оның 1,21 млрд-ы BNB Chain-де шамамен $950 000-ға сатылды. KiiChain шамамен 148,3 млн KII жоғалтты, 64,6 млн токен ~$1,6 млн-ға өткізілді. Ұрланғанның бір бөлігі (54,4%) желіде қалып, қайтарылуы мүмкін. Зардап шеккен басқа үш желінің атаулары ашылмайды.
Сын және жауап
MANTRA мен KiiChain ашу процесін қатаң сынға алды. Олардың пікірінше, 20 сағат — жеке ескертусіз 38 валидатор арасында жаңартуды бағалау мен үйлестіру үшін жеткіліксіз мерзім. Cosmos Labs 40 желімен үйлестіргенін және 115-тен астам публикалық блокчейндер арасында Cosmos EVM-нің 11 тіркелмеген орналастыруын анықтағанын алға тартады.
Менің талдауым: бұл оқиға — тіпті mature-экожүйелердің де тәуекелдерді бағалаудағы қателіктерге осал екенін тағы бір еске салу. Операторларды шұғыл хабардар етпей патчті жасыру шешімі өте қауіпті көрінеді, әсіресе тәуелсіз зерттеушілер мәселенің жаһандық сипатын көрсеткенін ескерсек. Мәселе осалдықтың болуында емес, реакция процесінің неге соншалықты баяу болғанында. 2025 жылдың қаңтарынан 2026 жылдың шілдесіне дейін криптоплатформалар 245 оқиғада $3,63 млрд жоғалтқанын ескерсек, нарыққа стандартталған шұғыл ескерту хаттамалары анық жетіспейді.