Cosmos Labs sagt, eine kritische Cosmos-EVM-Sicherheitslücke, die im April über sein Bug-Bounty-Programm gemeldet wurde, sei fälschlicherweise so eingestuft worden, dass sie Produktionsnetzwerke nicht beeinträchtigt. Angreifer nutzten die Schwachstelle über sechs Ketten hinweg zwischen dem 20. August und dem 25. August 2026 aus.
Die Aktivität bewegte sich etwa $2,87 Millionen über dezentrale Börsen und weitere $2,85 Millionen über zentralisierte Börsen, laut dem Cosmos-Security-Post-Mortem.
Der Vorfall deckte eine monatelange Lücke zwischen der ersten Meldung und Veröffentlichungen auf, die betroffene Zweigstellen kurz vor dem ersten bekannten Angriff erreichten. Cosmos Labs erklärte, es habe seinen „Silent Patch“-Prozess genutzt, weil frühe Tests ergaben, dass Produktionsketten sicher seien; die Releases enthielten keine schwachstellenbezogene Mitteilung.
April-Bericht wurde nach Produktionstests als bereinigt eingestuft
Das Bug-Bounty-Programm von Cosmos Labs erhielt die Meldung am 25. April. Das Unternehmen sagte, seine Tester hätten zunächst zu dem Schluss gekommen, dass Produktionsnetzwerke nicht verwundbar seien; die spätere Verwendung des Exploits im August widerlegte diese Einschätzung.
Der spätere Post-Mortem-Bericht bezeichnete das Problem als kritische Balance-Underflow-Sicherheitslücke in Cosmos EVM, dem Ethereum-kompatiblen Stack, der von den betroffenen Netzwerken verwendet wird. Da die Produktionsnetzwerke als sicher bewertet wurden, behandelte Cosmos Labs die Behebung über einen stillen Patch-Prozess, statt eine sicherheitsspezifische Benachrichtigung zu veröffentlichen.
Ein Patch konnte daher verfügbar gewesen sein, ohne dass die Betreiber wussten, dass er eine dringende Sicherheitsgefährdung adressierte, und vor Beginn der Angriffe wurde keine öffentlichkeitswirksame Warnung mit Bezug auf die Sicherheitslücke gegeben.
Nicht geprüfte StateDB-Subtraktion führte zu nicht autorisierten Guthaben
Der zugrunde liegende Defekt befand sich laut der sicherheitstechnischen Mitteilung des Projekts in Cosmos EVMs StateDB. Eine ungeprüfte Subtraktion konnte auftreten, wenn ein Vesting-Account mehr delegierte, als seine auszahlbare (spendable) Bilanz betrug.
Statt sicher zu scheitern, wurde die Kontobilanz auf ungefähr 2256 „umgewickelt“ (wrapped). Dieses enorme daraus resultierende Guthaben ermöglichte es Angreifern, Gelder von Konten zu übertragen, die diese Transaktionen nicht autorisiert hatten.
Der Exploit-Mechanismus hing nicht davon ab, dass ein Angreifer administrative Zugriffsrechte erlangt. Er entstand aus dem Bilanz-Fehler selbst – deshalb wurden Tempo und Klarheit des Software-Updates nach Verfügbarkeit des Fixes zum zentralen Punkt.
Rückportierte Releases trafen Stunden vor dem ersten Angriff ein
Der Hauptzweig (main branch) von Cosmos EVM erhielt die Korrektur am 15. Mai, aber eine Rückportierung in die Release-Zweige v0.6.x und v0.7.x erfolgte erst am 19. August. Versionen v0.6.2 und v0.7.2 wurden um 23:01 UTC veröffentlicht, rund 20 Stunden vor dem ersten bekannten Angriff, so das Incident-Post-Mortem von MANTRA Chain.
MANTRA erklärte, dieses Zeitfenster sei nicht realistisch, um eine zustandsverändernde (state-breaking) Aktualisierung über die Validatoren hinweg zu organisieren, was eine Abstimmung zwischen den Betreibern der Netzwerke erfordert – nicht nur ein routinemäßiges Update durch ein einzelnes Unternehmen. The Block berichtete, dass die gepatchten Releases die Sicherheitslücke nicht identifizierten und damit MANTRAs Darstellung des engen Reaktionsfensters bestätigten.
Der Fix im Hauptzweig hatte daher seit Monaten existiert, bevor die entsprechenden Release-Zweig-Versionen veröffentlicht wurden.
Die Ausnutzung über sechs Ketten leitete ungefähr 5,7 Millionen US-Dollar über Börsen
In den sechs ausgenutzten Netzwerken schätzte Cosmos Labs, dass ungefähr 5,72 Millionen US-Dollar ausgetauscht wurden: etwa 2,87 Millionen US-Dollar über dezentralisierte Börsen und 2,85 Millionen US-Dollar über zentralisierte Handelsplätze. Diese Zahlen beschreiben Austauschflüsse, die im Post-Mortem von Cosmos Labs identifiziert wurden, nicht eine vollständige Kette-für-Kette-Aufstellung der Verluste.
MANTRA meldete außerdem eine separate Zahl zu Token-Verlusten in Höhe von 720.923.967,99 MANTRA, bewertet mit etwa 3,6 Millionen US-Dollar zum Preis vor dem Vorfall. Die Chain erklärte, dass keine Validator-Schlüssel, Administrator-Schlüssel, Governance-Steuerungen oder Multisig-Unterzeichner kompromittiert wurden.
Der kombinierte Datensatz weist auf eine Software-Sicherheitslücke hin, die im April gemeldet, nach Tests als behoben eingestuft und erst in den betroffenen Release-Linien kurz vor Beginn der Ausnutzung gepatcht wurde. Für die Betreiber, die diese Ketten ausführten, wurde das relevante Upgrade-Fenster in Stunden gemessen.
Haftungsausschluss: Dieser Artikel wird nur zu Informationszwecken bereitgestellt. Er stellt keine rechtliche, steuerliche, Anlage-, finanzielle oder sonstige Beratung dar und ist auch nicht für deren Nutzung vorgesehen.