Cosmos Labs l’admet : ils ont fait une erreur, et cette bévue vient de coûter des millions sur six chaînes.
L’équipe derrière Cosmos vient de publier un rapport technique qui reconnaît un grave impair. Ils ont mal évalué une vulnérabilité de type dépassement/dépassement de capacité (integer underflow) dans le Cosmos EVM, datant d’avril. Impossible de la reproduire pendant les tests, puis ils l’ont corrigée discrètement en mai, sans déclencher d’alertes. Avançons jusqu’en août : des chercheurs indépendants ont confirmé que la faille avait bel et bien touché chaque chaîne du Cosmos EVM. Un correctif a finalement été publié le 19 août, mais les pirates ont agi les premiers — environ 20 heures plus tard, les attaques ont commencé.
Entre le 20 et le 25 août, six chaînes ont été vidées, pour un total d’environ 5,7 millions de dollars. MANTRA a subi le plus gros revers : 720,9 millions de jetons dérobés (environ 3,6 millions de dollars). TAC a perdu près de 3 milliards de ses jetons, et KiiChain a vu environ 148 millions de KII quitter les lieux. L’exploit était malin : les attaquants ont provoqué un underflow des soldes de comptes vers la valeur maximale 2^256-1, puis ont renvoyé ces montants gonflés. Aucun jeton n’a été créé ex nihilo, mais l’impact a été tout aussi destructeur.
Le vrai point qui fait mal ? MANTRA et KiiChain sont furieux parce que Cosmos Labs n’a pas prévenu les chaînes concernées pour qu’elles se mettent à l’arrêt avant de déployer le correctif. KiiChain a souligné que l’application du correctif prendrait des jours, mais qu’un arrêt de chaîne aurait pris quelques minutes. Cosmos Labs affirme avoir coordonné 40 chaînes et aidé 13 à corriger ou mettre en pause avant d’être frappé, mais pour celles qui se sont fait détruire, ce n’est guère réconfortant. Un rappel : même des correctifs silencieux motivés par de bonnes intentions peuvent se retourner violemment si l’ampleur réelle n’est pas comprise.
L’équipe derrière Cosmos vient de publier un rapport technique qui reconnaît un grave impair. Ils ont mal évalué une vulnérabilité de type dépassement/dépassement de capacité (integer underflow) dans le Cosmos EVM, datant d’avril. Impossible de la reproduire pendant les tests, puis ils l’ont corrigée discrètement en mai, sans déclencher d’alertes. Avançons jusqu’en août : des chercheurs indépendants ont confirmé que la faille avait bel et bien touché chaque chaîne du Cosmos EVM. Un correctif a finalement été publié le 19 août, mais les pirates ont agi les premiers — environ 20 heures plus tard, les attaques ont commencé.
Entre le 20 et le 25 août, six chaînes ont été vidées, pour un total d’environ 5,7 millions de dollars. MANTRA a subi le plus gros revers : 720,9 millions de jetons dérobés (environ 3,6 millions de dollars). TAC a perdu près de 3 milliards de ses jetons, et KiiChain a vu environ 148 millions de KII quitter les lieux. L’exploit était malin : les attaquants ont provoqué un underflow des soldes de comptes vers la valeur maximale 2^256-1, puis ont renvoyé ces montants gonflés. Aucun jeton n’a été créé ex nihilo, mais l’impact a été tout aussi destructeur.
Le vrai point qui fait mal ? MANTRA et KiiChain sont furieux parce que Cosmos Labs n’a pas prévenu les chaînes concernées pour qu’elles se mettent à l’arrêt avant de déployer le correctif. KiiChain a souligné que l’application du correctif prendrait des jours, mais qu’un arrêt de chaîne aurait pris quelques minutes. Cosmos Labs affirme avoir coordonné 40 chaînes et aidé 13 à corriger ou mettre en pause avant d’être frappé, mais pour celles qui se sont fait détruire, ce n’est guère réconfortant. Un rappel : même des correctifs silencieux motivés par de bonnes intentions peuvent se retourner violemment si l’ampleur réelle n’est pas comprise.
