Cosmos Labs admite una revisión fallida tras un hack de 5,7M$

Cosmos Labs reveló el viernes que un fallo en Cosmos EVM, la pila compartida que permite a las cadenas de Cosmos ejecutar aplicaciones estilo Ethereum, dejó a los atacantes vaciar aproximadamente 5,7 millones de dólares de seis redes blockchain entre el 20 y el 25 de agosto. La firma reconoció que un investigador había reportado el bug a través de su programa de recompensas por bugs el 25 de abril, pero los testers de Cosmos Labs no pudieron reproducir el ataque contra configuraciones de mainnet en vivo y concluyeron que los fondos de los usuarios no estaban en riesgo, enviando el arreglo mediante su proceso de parche silencioso en lugar de una distribución privada de seguridad.

Why it matters

El exploit se apoya en un fallo de underflow de enteros. Al delegar más tokens de los que una cuenta tenía y luego invertir la aritmética, el atacante llevó un saldo más allá de cero hasta 2^256-1, una cifra de 78 dígitos, infló una cuenta objetivo en reverso y se llevó sus tokens, todo mientras el suministro total permanecía sin cambios. El aviso de Cosmos Labs, calificado como crítico, cubre las versiones de Cosmos EVM anteriores a v0.6.2 y v0.7.2 y afecta a cada despliegue de Cosmos EVM que aún no había migrado a las versiones parchadas cuando se publicó el cambio de código público.

La cadena de fallos de divulgación es inusualmente detallada. Un parche fusionado en mayo bajo el proceso silencioso, luego a las 7:01 p.m. ET del 19 de agosto Cosmos Labs publicó v0.6.2 y v0.7.2, con notas de versión que hacían referencia a arreglos de seguridad "importantes". Aproximadamente 20 horas después cayó el primer ataque. El post-mortem de MANTRA describe la ventana sin rodeos: "Veinte horas no fue una ventana realista para evaluar, construir, probar y coordinar una actualización que rompe el estado a través de 38 validadores independientes". Aproximadamente 12 horas antes del primer robo, un desarrollador de Push Chain presentó públicamente un cambio de código que describía la ruta del exploit, una divulgación que Cosmos Labs calificó como "altamente inusual".

Market impact

MANTRA perdió 720,9 millones de tokens MANTRA, que entonces valían unos 3,6 millones de dólares, drenados de su dirección de quema y una wallet multisig inactiva, y su reporte de suministro subió en la misma cantidad porque esos saldos habían sido excluidos como no gastables. La cadena se detuvo unas cuatro horas después del primer robo y se reanudó aproximadamente 30 horas después con el software parchado, sin rollback, congelando unos 38 millones de MANTRA aún en la wallet del atacante. MANTRA cotizó cerca de 0,0043 dólares durante el fin de semana, con una caída de aproximadamente el 70% desde inicio de año, y estaba atravesando una reestructuración interrumpida por un acuerdo de adquisición con su inversor Inveniam.

TAC perdió casi 3 mil millones de tokens el 22 de agosto, de los cuales aproximadamente 1,2 mil millones se intercambiaron en BNB Chain por unos 950.000 dólares.