A Cosmos Labs afirma que uma vulnerabilidade crítica do Cosmos EVM, reportada por meio do seu programa de caça a bugs em abril, foi julgada incorretamente como não afetando as redes de produção. Os atacantes exploraram a vulnerabilidade em seis cadeias entre 20 de agosto e 25 de agosto de 2026.
A atividade movimentou cerca de US$ 2,87 milhões por meio de exchanges descentralizadas e mais US$ 2,85 milhões por meio de exchanges centralizadas, segundo o relatório pós-incidente de segurança da Cosmos.
O incidente revelou uma lacuna de meses entre o relatório inicial e as liberações que chegaram aos ramos afetados pouco antes do primeiro ataque conhecido. A Cosmos Labs disse que usou seu processo de patch silencioso porque os testes iniciais indicaram que as cadeias de produção estavam seguras; as liberações não incluíram um aviso específico da vulnerabilidade.
Relatório de abril foi descartado após testes em produção
O programa de recompensas (bug bounty) da Cosmos Labs recebeu a falha em 25 de abril. A empresa afirmou que seus testadores inicialmente concluíram que as redes de produção não eram vulneráveis; o uso do exploit em agosto posteriormente refutou essa avaliação.
O pós-morte posterior chamou o problema de uma vulnerabilidade crítica de underflow de saldo no Cosmos EVM, a pilha compatível com Ethereum usada pelas redes afetadas. Como as redes de produção foram consideradas seguras, a Cosmos Labs tratou a remediação por meio de um processo de correção silenciosa, em vez de emitir um aviso específico para a vulnerabilidade.
Portanto, uma correção poderia estar disponível sem que os operadores soubessem que ela endereçava uma exposição de segurança urgente, e nenhum aviso público específico sobre a vulnerabilidade foi dado antes do início dos ataques.
Subtração no StateDB sem verificação criou saldos não autorizados
O defeito subjacente estava no StateDB do Cosmos EVM, de acordo com o aviso de segurança do projeto. Uma subtração não verificada poderia ocorrer quando uma conta de vesting delegasse mais do que seu saldo disponível.
Em vez de falhar de forma segura, o saldo da conta foi ajustado para cerca de 2256. Esse enorme saldo resultante permitiu que os atacantes transferissem fundos de contas que não tinham autorizado essas transações.
O mecanismo do exploit não dependia de um atacante obter acesso administrativo. Ele surgiu do próprio erro no tratamento do saldo, razão pela qual a velocidade e a clareza da atualização de software se tornaram centrais depois que a correção ficou disponível.
Versões retroportadas chegaram horas antes do primeiro ataque
A branch principal do Cosmos EVM recebeu a correção em 15 de maio, mas não foi retroportada para as branches de versão v0.6.x e v0.7.x até 19 de agosto. As versões v0.6.2 e v0.7.2 foram publicadas às 23:01 UTC, cerca de 20 horas antes do primeiro ataque conhecido, de acordo com o pós-morte do incidente da MANTRA Chain.
A MANTRA disse que essa janela não era realista para organizar uma atualização que quebrasse o estado em seu conjunto de validadores, o que exige coordenação entre os operadores de rede, e não uma atualização de rotina por uma única empresa. O Block informou que as versões corrigidas não identificaram a vulnerabilidade, corroborando o relato da MANTRA sobre a janela de resposta estreita.
Assim, a correção da branch principal já existia há meses antes das versões da branch relevante serem publicadas.
A exploração em seis cadeias movimentou cerca de US$ 5,7 milhões por meio de exchanges
Nas seis redes exploradas, a Cosmos Labs estimou que cerca de US$ 5,72 milhões foram trocados: aproximadamente US$ 2,87 milhões via exchanges descentralizadas e US$ 2,85 milhões por meio de ambientes centralizados. Esses números descrevem fluxos de exchange identificados no pós-morte da Cosmos Labs, e não uma contabilização completa, cadeia por cadeia, das perdas.
A MANTRA informou um valor separado de perda de tokens de 720.923.967,99 MANTRA, avaliado em cerca de US$ 3,6 milhões no preço anterior ao incidente. A cadeia disse que nenhuma chave de validador, nenhuma chave de administrador, controles de governança ou signatários de multisig foram comprometidos.
O registro combinado aponta para uma vulnerabilidade de software que foi reportada em abril, foi eliminada após testes e só foi corrigida nas linhas de versão afetadas pouco antes do início da exploração. Para os operadores que executavam essas cadeias, a janela de atualização relevante foi medida em horas.
Aviso: Este artigo é fornecido apenas para fins informativos. Não é oferecido nem pretende ser utilizado como aconselhamento jurídico, fiscal, de investimento, financeiro ou outro.