Cosmos Labs hielten eine kritische EVM-Schwachstelle vier Monate lang zurück, nachdem sie zunächst eingeschätzt hatten, dass diese keine Bedrohung für Produktiv-Chains darstelle. Die Schwachstelle wurde am 25. April gemeldet, galt als nur sechs-Dezimal-Netzwerke betreffend und wurde am 15. Mai als stiller öffentlicher Patch gemerged. Ende August hatten Angreifer sie in sechs Netzwerken ausgenutzt und rund $5.7 Millionen über eine Kombination aus dezentralen und zentralisierten Börsen bewegt.
Warum es zählt
Die Fehleinschätzung steht im Zentrum der Geschichte. Cosmos Labs' ursprüngliche Bewertung ging davon aus, dass Produktiv-Cosmos-EVM-Chains mit 18-Dezimal-Token-Konfigurationen statt sechs-Dezimal-Konfigurationen außerhalb der Reichweite der Schwachstelle lägen. Das Unternehmen wickelte den Fix daher über seinen stillen öffentlichen Patch-Prozess ab statt über die private Patch-Verteilung, die für Schwachstellen reserviert ist, von denen angenommen wird, dass sie Live-Nutzergelder bedrohen. Anfang August zeigte weitere Forschung, dass die Dezimal-Unterscheidung Deployments nicht schützte, was gepatchte v0.6.2- und v0.7.2-Releases am 19. August erzwang. Ein öffentlicher Pull Request in einem Fork eines anderen Projekts beschrieb am nächsten Morgen den Exploit-Pfad, und MANTRA verzeichnete weniger als 12 Stunden später seine erste unautorisierte Transaktion.
Marktauswirkungen
MANTRA trug den größten offengelegten Schaden, wobei rund 720.9 Millionen Tokens (600 Millionen von einer Burn-Adresse und 120.9 Millionen von einer Multisig aus der Genesis-Ära) durch eine unprivilegierte Wallet bewegt wurden, die nie Validator- oder Governance-Keys kompromittierte. Das Projekt bewertete die Bewegung mit etwa $3.6 Millionen zum Preis vor dem Vorfall, und MANTRA fiel auf ein Allzeittief, bevor es nach dem Postmortem rund 14% auf etwa $0.004744 zurückprallte. Cosmos Labs kontaktierte insgesamt 40 Netzwerke, wobei 13 Patches oder Stopps anwandten, bevor sie ausgenutzt wurden, und die Reaktion brachte zudem 11 Cosmos-EVM-Deployments ans Licht, die das Sicherheitsteam zuvor nicht verfolgt hatte. Konten, die mit der CEX-Seite der Geldwäscheroute verbunden sind, wurden eingefroren, und Cosmos Labs hat sich zur Überarbeitung seiner Triage- und Offenlegungsverfahren verpflichtet.
Häufig gestellte Fragen
-
Wie haben Angreifer den Cosmos-EVM-Bug ausgenutzt?
Sie lösten einen Underflow bei vorzeichenlosen Ganzzahlen aus, um ein ungewöhnlich großes Guthaben zu erzeugen, und nutzten diesen Zustand dann, um ein anderes Konto zu overflowen und dessen legitimes Guthaben zu extrahieren, ohne das gesamte Token-Angebot zu erhöhen.
-
Warum glaubte Cosmos Labs zunächst, Produktiv-Chains seien sicher?
Das Unternehmen bewertete die Schwachstelle als nur sechs-Dezimal-Netzwerke betreffend, während Produktiv-Cosmos-EVM-Chains 18 Dezimalstellen nutzten, und wickelte den Fix daher als stillen öffentlichen Patch statt als Notfall-Sicherheitsrelease ab.
-
Wie wurden die gestohlenen Gelder über die betroffenen Chains gewaschen?
Angreifer bewegten rund $2.87 Millionen über DEXs und geschätzte $2.85 Millionen über zentralisierte Börsen; Konten auf der CEX-Seite wurden inzwischen eingefroren, wobei MANTRA mit etwa $3.6 Millionen den größten offengelegten Schaden trug.
-
Was war MANTRA Monitoring-Versagen während des Angriffs?
MANTRA Monitoring behandelte die Burn-Adresse als unfähig, Gelder zu bewegen, sodass die erste unautorisierte Transaktion fast vier Stunden lang nicht markiert wurde und die Chain 14 Minuten nach einer zweiten Abbuchung stoppte.
-
Wie ändert Cosmos Labs seine Schwachstellen-Reaktion nach dem Vorfall?
Das Unternehmen hat sich zur Überarbeitung seiner Triage- und Offenlegungsverfahren verpflichtet, nachdem eine zunächst als unwahrscheinlich für Produktiv-Chains eingestufte Schwachstelle letztlich sechs Netzwerke erreichte und Notfallkoordination über rund 40 Netzwerke erzwang.
TheBlock
Lookonchain
WuBlockchain