Cosmos Labs räumt ein, dass ihnen ein Fehler unterlaufen ist, der gerade Millionen über sechs Chains hinweg gekostet hat.
Das Team hinter Cosmos hat soeben einen technischen Bericht veröffentlicht, in dem es einen schwerwiegenden Fehltritt einräumt. Man hat eine Integer-Underflow-Schwachstelle im Cosmos EVM falsch eingeschätzt, die im April entdeckt wurde, konnte sie im Test nicht reproduzieren und hat sie still im Mai behoben, ohne Alarm zu schlagen. Einen Monat später, im August, bestätigten unabhängige Forscher, dass der Fehler tatsächlich jede Cosmos-EVM-Chain betroffen hat. Am 19. August kam endlich der Patch, doch die Angreifer waren schneller – etwa 20 Stunden später begannen die Angriffe.
Zwischen dem 20. und 25. August wurden sechs Chains geplündert, insgesamt etwa 5,7 Millionen US-Dollar. MANTRA traf es am härtesten: 720,9 Millionen Tokens wurden gestohlen (rund 3,6 Millionen US-Dollar). TAC verlor fast 3 Milliarden seiner Tokens, und KiiChain sah, wie etwa 148 Millionen KII einfach verschwanden. Der Exploit war clever: Angreifer unterliefen Kontostände auf den Maximalwert 2^256-1 und überwiesen die aufgeblähten Beträge anschließend wieder zurück. Es wurden keine Tokens aus dem Nichts erschaffen, aber die Wirkung war genauso verheerend.
Der eigentliche Knackpunkt? MANTRA und KiiChain sind wütend, dass Cosmos Labs die betroffenen Chains nicht gewarnt hat, damit sie vor dem Ausrollen des Patches herunterfahren. KiiChain wies darauf hin, dass das Anwenden der Lösung Tage dauern würde, während ein Chain-Halt nur Minuten gebraucht hätte. Cosmos Labs sagt, man habe sich mit 40 Chains abgestimmt und geholfen, dass 13 vor einem Angriff gepatcht oder pausiert wurden, aber das ist für die, die zerschossen wurden, nur ein schwacher Trost. Diese Geschichte ist eine Erinnerung daran, dass auch gut gemeinte stille Patches hart nach hinten losgehen können, wenn der volle Umfang nicht verstanden wird.
Das Team hinter Cosmos hat soeben einen technischen Bericht veröffentlicht, in dem es einen schwerwiegenden Fehltritt einräumt. Man hat eine Integer-Underflow-Schwachstelle im Cosmos EVM falsch eingeschätzt, die im April entdeckt wurde, konnte sie im Test nicht reproduzieren und hat sie still im Mai behoben, ohne Alarm zu schlagen. Einen Monat später, im August, bestätigten unabhängige Forscher, dass der Fehler tatsächlich jede Cosmos-EVM-Chain betroffen hat. Am 19. August kam endlich der Patch, doch die Angreifer waren schneller – etwa 20 Stunden später begannen die Angriffe.
Zwischen dem 20. und 25. August wurden sechs Chains geplündert, insgesamt etwa 5,7 Millionen US-Dollar. MANTRA traf es am härtesten: 720,9 Millionen Tokens wurden gestohlen (rund 3,6 Millionen US-Dollar). TAC verlor fast 3 Milliarden seiner Tokens, und KiiChain sah, wie etwa 148 Millionen KII einfach verschwanden. Der Exploit war clever: Angreifer unterliefen Kontostände auf den Maximalwert 2^256-1 und überwiesen die aufgeblähten Beträge anschließend wieder zurück. Es wurden keine Tokens aus dem Nichts erschaffen, aber die Wirkung war genauso verheerend.
Der eigentliche Knackpunkt? MANTRA und KiiChain sind wütend, dass Cosmos Labs die betroffenen Chains nicht gewarnt hat, damit sie vor dem Ausrollen des Patches herunterfahren. KiiChain wies darauf hin, dass das Anwenden der Lösung Tage dauern würde, während ein Chain-Halt nur Minuten gebraucht hätte. Cosmos Labs sagt, man habe sich mit 40 Chains abgestimmt und geholfen, dass 13 vor einem Angriff gepatcht oder pausiert wurden, aber das ist für die, die zerschossen wurden, nur ein schwacher Trost. Diese Geschichte ist eine Erinnerung daran, dass auch gut gemeinte stille Patches hart nach hinten losgehen können, wenn der volle Umfang nicht verstanden wird.
