Aconteceu uma confusão no ecossistema Cosmos nesses últimos dias.
A vulnerabilidade foi reportada em abril por alguém via plano de recompensas. A Cosmos Labs testou por conta própria na época e concluiu que a mainnet não estava afetada; então, silenciosamente aplicou um patch sem emitir comunicado. No início de agosto, pesquisadores externos confirmaram que todas as cadeias que rodam Cosmos EVM foram comprometidas. O patch só foi publicado na noite de 19 de agosto; na tarde do dia 20, já veio a primeira onda de ataques.
Em cinco dias, seis cadeias foram saqueadas, totalizando cerca de 5,7 milhões de dólares. A MANTRA($OM) foi a pior: cerca de 360 milhões de tokens (aprox. 3,6 bilhões de moedas) foram desviados do endereço de gravação e de carteiras de multisig iniciais — o que equivalia, na época, a cerca de 3,6 milhões de dólares. TAC e KiiChain também foram atingidas. Os atacantes exploraram uma vulnerabilidade de subfluxo inteiro (integer underflow) para fazer o saldo “dar a volta” até um valor máximo e então executar a operação inversa, transferindo as moedas que estavam na conta de outras pessoas.
O mais estranho é o processo de divulgação. O patch foi publicado, e em apenas 20 horas o ataque começou; com 40 nós validadores, não dava tempo de coordenar a atualização. As contas nas plataformas de transação relacionadas já foram congeladas, e ainda não se sabe se o dinheiro será recuperado.
Depois desse duro aprendizado, todas as cadeias Cosmos EVM precisam atualizar para a versão v0.6.2 ou superior para serem consideradas em conformidade. A transparência da colaboração open-source é algo positivo, mas esses patches silenciosos, que colocam o risco “dentro” e sem alarde, realmente dão calafrios.
#Cosmos #安全事件 #DeFi $ATOM $OM