Cosmos Labs reconoce que dio por resuelto por error el fallo detrás del hack de SixChain por 5,7 millones de dólares

Cosmos Labs admitió que declaró erróneamente como resuelto un fallo en Cosmos EVM que fue aprovechado para sustraer 5,7 millones de dólares en seis redes blockchain entre el 20 y el 25 de agosto. Según el informe post mortem, los atacantes canjearon los tokens robados por unos 2,87 millones de dólares en otros activos a través de exchanges descentralizados y por otros 2,85 millones en plataformas centralizadas. La compañía afirmó que las cuentas en exchanges centralizados vinculadas al ataque han quedado congeladas a la espera de la investigación de las autoridades competentes. El origen se remonta al 25 de abril, cuando un investigador reportó la vulnerabilidad mediante el programa de recompensas de Cosmos. Cosmos Labs sostuvo que sus pruebas no lograron reproducir el ataque en la configuración utilizada por las cadenas Cosmos en producción, por lo que concluyó que los fondos no estaban en riesgo. Con esa premisa, abordó el problema mediante su proceso de "parche público silencioso", en lugar del mecanismo de distribución privada. La vulnerabilidad consistía en un underflow de enteros que podía hacer que las carteras atacante aparentaran poseer, en la práctica, una cantidad infinita de tokens. A partir de ahí, el atacante podía transferir ese saldo inflado a una cuenta objetivo y dejar al destinatario sin nada. El proceso no creaba tokens y la oferta total permanecía, en términos efectivos, sin cambios. MANTRA señaló que, en su caso, el exploit movió su suministro en una única unidad base. Cosmos Labs indicó que entre los objetivos había cuentas arbitrarias con saldos elevados, como direcciones de quema y monederos multifirma. El aviso crítico afecta a versiones de Cosmos EVM anteriores a v0.6.2 y v0.7.2. La firma integró una corrección en mayo, convencida de que las cadenas activas no se veían afectadas, y afirmó haber parcheado 37 vulnerabilidades por esa vía en los últimos 13 meses. Investigadores independientes concluyeron a principios de agosto que el fallo impactaba a todas las cadenas Cosmos EVM, según el post mortem. Cosmos Labs publicó el parche a las 7:01 p.m. ET del 19 de agosto, con notas de versión que lo describían únicamente como "importantes correcciones de seguridad". El primer ataque arrancó unas 20 horas después. MANTRA recalcó que 20 horas no bastaban para evaluar, probar y coordinar una actualización entre 38 validadores independientes. Un desarrollador de Push Chain describió públicamente la vulnerabilidad y la ruta de explotación a las 3:16 a.m. ET del 20 de agosto, citando una auditoría de Hacken y enumerando las versiones afectadas. MANTRA afirmó que el hallazgo se registró 11 horas y 45 minutos antes del primer sondeo del atacante. MANTRA perdió 720,9 millones de tokens MANTRA, entonces valorados en torno a 3,6 millones de dólares. Los fondos se drenaron desde una dirección de quema y una cartera multifirma inactiva. MANTRA detuvo su cadena a las 7:13 p.m. ET del 20 de agosto y la reanudó más de 30 horas después con software parcheado, sin realizar rollback. TAC perdió casi 3.000 millones de TAC de su pool de staking el 22 de agosto. Aproximadamente 1.200 millones de TAC se vendieron en BNB Chain por unos 950.000 dólares. KiiChain perdió cerca de 148 millones de KII esa misma noche; alrededor de 64,6 millones de KII se vendieron por unos 1,6 millones de dólares. Cosmos Labs aseguró que aproximadamente el 54% de los KII sustraídos sigue siendo recuperable onchain si la red se restaura. Otras tres cadenas también fueron atacadas con el mismo método, pero Cosmos Labs no las identificó. Bubblemaps apuntó a que una de ellas podría ser Nesa y señaló que un atacante trasladó 50 millones de NES de vuelta a Ethereum tras inflar el saldo 200 veces. De acuerdo con Bubblemaps, un deslizamiento extremo limitó el beneficio a solo 60.000 dólares y el ataque a Nesa podría haber involucrado a una parte distinta. Las otras dos cadenas no han sido identificadas públicamente. MANTRA indicó que, a 28 de agosto, no se habían recuperado tokens. KiiChain sostuvo que Cosmos Labs no avisó con antelación a las cadenas afectadas ni recomendó detener la operativa hasta el 22 de agosto, cuando MANTRA, TAC y KiiChain ya habían sido atacadas. KiiChain añadió que el exploit requería tres defectos upstream y que solo el underflow se había corregido públicamente. MANTRA aseguró que la corrección del underflow cerró la vía de ataque. Cosmos Labs afirmó que coordinó la respuesta con 40 cadenas, colaboró con otras 13 para parchearlas o detenerlas antes de nuevos ataques y detectó 11 despliegues de Cosmos EVM no registrados hasta entonces durante la gestión del incidente.