Cosmos Labs admet un audit raté derrière le hack de 5,7 M$

Cosmos Labs a révélé vendredi qu'une faille dans Cosmos EVM, la pile partagée qui permet aux chaînes Cosmos d'exécuter des applications de style Ethereum, a permis à des attaquants de vider environ 5,7 millions de dollars sur six réseaux blockchain entre le 20 et le 25 août. L'entreprise a reconnu qu'un chercheur avait signalé le bug via son programme de primes le 25 avril, mais que les testeurs de Cosmos Labs n'avaient pas pu reproduire l'attaque contre des configurations de mainnet en production et avaient conclu que les fonds des utilisateurs n'étaient pas en danger, déployant le correctif via son processus de patch silencieux plutôt qu'une distribution de sécurité privée.

Pourquoi c'est important

L'exploitation repose sur un bug de dépassement d'entier. En déléguant plus de jetons qu'un compte n'en détenait puis en inversant l'arithmétique, l'attaquant a fait basculer un solde au-delà de zéro jusqu'à 2^256-1, un nombre à 78 chiffres, gonflé un compte cible en sens inverse et est reparti avec ses jetons, le tout alors que l'offre totale restait inchangée. L'avis de Cosmos Labs, classé critique, couvre les versions de Cosmos EVM antérieures à v0.6.2 et v0.7.2 et concerne tout déploiement Cosmos EVM qui n'était pas encore passé aux versions corrigées au moment de la modification publique du code.

La chaîne de défaillances dans la divulgation est détaillée de manière inhabituelle. Un correctif fusionné en mai selon le processus silencieux, puis à 19h01 ET le 19 août, Cosmos Labs a publié v0.6.2 et v0.7.2, avec des notes de version faisant référence à des correctifs de sécurité « importants ». Environ 20 heures plus tard, la première attaque a eu lieu. L'analyse post-mortem de MANTRA résume sans détour : « Vingt heures n'étaient pas une fenêtre réaliste pour évaluer, construire, tester et coordonner une mise à jour brisant l'état sur 38 validateurs indépendants. » Environ 12 heures avant le premier vol, un développeur chez Push Chain a déposé publiquement une modification de code décrivant le chemin d'exploitation, une divulgation que Cosmos Labs a qualifiée de « hautement inhabituelle ».

Impact sur le marché

MANTRA a perdu 720,9 millions de jetons MANTRA, alors valorisés à environ 3,6 millions de dollars, vidés de son adresse de burn et d'un portefeuille multisig dormant, et sa déclaration d'offre a augmenté du même montant parce que ces soldes avaient été exclus comme non dépensables. La chaîne s'est arrêtée environ quatre heures après le premier vol et a repris environ 30 heures plus tard sur le logiciel corrigé, sans rollback, gelant environ 38 millions de MANTRA encore dans le portefeuille de l'attaquant. MANTRA s'échangeait près de 0,0043 $ le week-end, en baisse d'environ 70 % depuis le début de l'année, et faisait l'objet d'une restructuration interrompue par un accord d'acquisition avec le soutien Inveniam.

TAC a perdu près de 3 milliards de jetons le 22 août, dont environ 1,2 milliard ont été échangés sur BNB Chain pour environ 950 000 dollars.