Angreifer haben eine kritische Cosmos-EVM-Vulnerability ausgenutzt, um zwischen dem 20. Aug. und dem 25. Aug. Vermögenswerte aus sechs Blockchain-Netzwerken zu stehlen und letztlich etwa 5,7 Millionen US-Dollar an Tokens verkauft.
Der Fehler betraf einen Integer-Underflow, der es Angreifern ermöglichte, Bilanzen so zu manipulieren, dass sie effektiv zu enormen Werten wurden, und dann diese aufgeblähten Bilanzen zu nutzen, um Tokens aus den Zielkonten abzuziehen. Cosmos Labs erklärte, dass keine neuen Token tatsächlich geschaffen wurden und die Gesamtmenge effektiv unverändert blieb.
Ein Forscher meldete die Schwachstelle zuerst im April, aber Cosmos Labs kam zunächst zu dem Schluss, dass Live-Netzwerke nicht betroffen waren, und behob sie über einen stillen Patch-Prozess, ohne eine öffentliche Mitteilung herauszugeben. Unabhängige Recherchen im August zeigten später, dass alle Cosmos-EVM-Ketten betroffen waren.
Die MANTRA Chain erlitt den größten bekanntgegebenen Schaden in Höhe von etwa 3,6 Millionen US-Dollar, während auch TAC und KiiChain ausgenutzt wurden. MANTRA kritisierte den Offenlegungsprozess und erklärte, dass das Sicherheits-Patch erst etwa 20 Stunden vor dem ersten Angriff veröffentlicht wurde und ohne ausreichende Informationen, damit Validatoren ein Upgrade koordinieren konnten.
Cosmos Labs sagte, es habe später mit etwa 40 Ketten koordiniert und 13 weitere beim Patchen oder beim Anhalten unterstützt, bevor diese angegriffen werden konnten.
Der Fehler betraf einen Integer-Underflow, der es Angreifern ermöglichte, Bilanzen so zu manipulieren, dass sie effektiv zu enormen Werten wurden, und dann diese aufgeblähten Bilanzen zu nutzen, um Tokens aus den Zielkonten abzuziehen. Cosmos Labs erklärte, dass keine neuen Token tatsächlich geschaffen wurden und die Gesamtmenge effektiv unverändert blieb.
Ein Forscher meldete die Schwachstelle zuerst im April, aber Cosmos Labs kam zunächst zu dem Schluss, dass Live-Netzwerke nicht betroffen waren, und behob sie über einen stillen Patch-Prozess, ohne eine öffentliche Mitteilung herauszugeben. Unabhängige Recherchen im August zeigten später, dass alle Cosmos-EVM-Ketten betroffen waren.
Die MANTRA Chain erlitt den größten bekanntgegebenen Schaden in Höhe von etwa 3,6 Millionen US-Dollar, während auch TAC und KiiChain ausgenutzt wurden. MANTRA kritisierte den Offenlegungsprozess und erklärte, dass das Sicherheits-Patch erst etwa 20 Stunden vor dem ersten Angriff veröffentlicht wurde und ohne ausreichende Informationen, damit Validatoren ein Upgrade koordinieren konnten.
Cosmos Labs sagte, es habe später mit etwa 40 Ketten koordiniert und 13 weitere beim Patchen oder beim Anhalten unterstützt, bevor diese angegriffen werden konnten.