Cosmos экожүйесіндегі ауқымды оқиға тәуекелдерді басқару процесіндегі жүйелік мәселені ашты. Мен Cosmos Labs жариялаған постмортемге өз талдауымды жүргізіп, қателер тізбегі Cosmos EVM негізіндегі алты блокчейнде $5,7 млн жоғалтуға әкелді деген қорытындыға келдім. Негізгі тұс — бастапқыда осалдық шамалы деп қате жіктелді, бұл каскадтық ақаудың түпкі себебіне айналды.
Хронология және эксплойттің техникалық мәліметтері
Мәселе әлі 2026 жылдың 25 сәуірінде bug bounty бағдарламасы арқылы анықталды. Ішкі тестілеуден кейін қауіпсіздік тобы продакшен-желілер тәуекелге ұшырамайды деген қорытындыға келіп, операторларды хабардар етпей-ақ ашық патч шығарды. Алайда тамыз айының басында тәуелсіз зерттеушілер керісінше дәлелдеді — осалдық Cosmos EVM-дегі барлық желілерге әсер етті. Әзірлеушілерге 19 тамыз кешінде жарияланған v0.6.2 және v0.7.2 релиздеріне енгізіп, түзетуді шұғыл бүркемелеуге тура келді. Алғашқы шабуыл 20 сағаттан кейін болды.
Техникалық тұрғыдан шабуыл underflow және overflow-дан тұратын күрделі тізбек болды. Шабуылдаушы арнайы жасалған вестинг-аккаунт пен зиянды контрактты баланстарды қате қайта есептеу үшін пайдаланды, содан кейін үлкен қалдықтары бар мекенжайлардан қаражат шығарды. Маңыздысы: жаңа токендер эмиссияланбады, ал жалпы ұсыныс өзгеріссіз қалды.
Залалдың бөлінуі
Ең үлкен соққы MANTRA желісіне тиді — өртеу мекенжайынан және ескі мультисиг-әмияннан 720,9 млн MANTRA токені (~$3,6 млн) шығарылды. Желі 20 тамызда тоқтатылып, 30 сағаттан кейін күйді кері қайтармай қайта іске қосылды. Клиенттік аккаунттар зардап шекпегенімен, бұрын экономикалық белсенді емес деп саналған токендер айналымға түскені назар аударарлық.
TAC шығыны 2,99 млрд токенді құрады, оның шамамен 1,21 млрды BNB Chain-де шамамен $950 000-ға сатылды. KiiChain ~148,3 млн KII жоғалтты, бұл ретте 64,6 млн токен $1,6 млн-ға сатылды, ал ұрланғанның 54,4%-ы желіде қалып, қайтарылуы мүмкін.
Сын және қарсы шаралар
MANTRA мен KiiChain ашу процесін қатаң сынға алды. Олардың пікірінше, 20 сағат — алдын ала ескертусіз 38 валидатор арасында жаңартуды үйлестіру үшін апатты түрде аз. Жауап ретінде Cosmos Labs 40 желімен үйлестірілгенін және 115-тен астам ашық блокчейн арасынан Cosmos EVM-нің 11 тіркелмеген орналастыруын анықтағанын мәлімдеді.
Менің талдауым: Бұл оқиға DeFi-дегі қауіпсіздік тәсілдеріндегі түбегейлі мәселені көрсетеді — шектеулі тестілеу кезінде осалдықтың маңыздылығын төмен бағалау. Cosmos Labs-тың зардап шеккен алты желінің үшеуін ашпауы процестің ашықтығына деген сенімді әлсіретеді. 2025 жылдың қаңтарынан 2026 жылдың шілдесіне дейін криптоплатформалар 245 оқиғада $3,63 млрд жоғалтқанын ескерсек, нарыққа үйлестіру мен операторларды міндетті хабардар етудің қатаң стандарттары шұғыл қажет.