Cosmos Labs reconnaît avoir validé à tort le bug à l'origine du piratage multi-chaînes de 5,7 M$

Cosmos Labs a reconnu avoir classé par erreur comme non critique une faille de Cosmos EVM, exploitée pour dérober 5,7 millions de dollars sur six réseaux blockchain entre le 20 et le 25 août. Selon le rapport d'analyse post-incident, les attaquants ont converti les jetons volés en d'autres actifs pour environ 2,87 M$ via des plateformes décentralisées, et pour 2,85 M$ via des plateformes centralisées. Cosmos Labs indique que les comptes utilisés sur des exchanges centralisés ont été gelés dans l'attente des investigations des autorités compétentes. La faille avait été signalée le 25 avril via le programme de bug bounty de Cosmos. Cosmos Labs explique que ses équipes n'étaient pas parvenues à reproduire l'attaque sur la configuration utilisée par les chaînes Cosmos en production, concluant alors que les fonds n'étaient pas menacés. L'entreprise a corrigé le problème via son processus de "silent public patch", plutôt que via une distribution privée du correctif. Techniquement, la vulnérabilité reposait sur un sous-dépassement d'entier (integer underflow) pouvant faire apparaître un portefeuille attaquant comme disposant d'un solde quasi infini. L'attaquant pouvait ensuite transférer ce solde artificiellement gonflé vers un compte cible, laissant ce dernier à zéro. Le mécanisme ne créait pas de jetons et l'offre totale restait, dans les faits, inchangée. MANTRA a indiqué que l'exploit n'avait déplacé son offre que d'une seule unité de base. Cosmos Labs précise que les comptes visés incluaient des adresses arbitraires à gros soldes, notamment des burn addresses et des portefeuilles multisignatures. L'avis critique concerne les versions de Cosmos EVM antérieures à v0.6.2 et v0.7.2. Un correctif avait été fusionné en mai, alors que Cosmos Labs pensait que les chaînes en production n'étaient pas affectées. L'entreprise dit avoir corrigé 37 vulnérabilités via ce même processus au cours des 13 derniers mois. D'après le postmortem, des chercheurs indépendants ont établi début août que la faille touchait toutes les chaînes Cosmos EVM. Cosmos Labs a publié le correctif le 19 août à 19h01 (heure de l'Est), des notes de version évoquant uniquement d'importantes corrections de sécurité. La première attaque a commencé environ 20 heures plus tard. MANTRA estime que 20 heures ne suffisaient pas pour évaluer, tester et coordonner une mise à niveau auprès de 38 validateurs indépendants. Le 20 août à 03h16 (heure de l'Est), un développeur de Push Chain a décrit publiquement la vulnérabilité et son mode d'exploitation, en créditant un audit de Hacken et en listant les versions concernées. MANTRA affirme que le signalement de sécurité a été déposé 11 heures et 45 minutes avant la première tentative de l'attaquant. MANTRA a perdu 720,9 millions de jetons MANTRA, évalués alors à environ 3,6 M$. Les fonds provenaient d'une burn address et d'un portefeuille multisignature inactif. Le réseau MANTRA a été arrêté le 20 août à 19h13 (heure de l'Est) et a redémarré plus de 30 heures plus tard sur une version corrigée, sans rollback. TAC a perdu près de 3 milliards de TAC depuis son pool de staking le 22 août. Environ 1,2 milliard de TAC ont été vendus sur BNB Chain pour près de 950"000 $. KiiChain a perdu environ 148 millions de KII le même soir, dont 64,6 millions ont été vendus pour environ 1,6 M$. Cosmos Labs affirme qu'environ 54 % des KII dérobés resteraient récupérables on-chain si le réseau était restauré. Trois autres chaînes ont été attaquées via la même méthode, sans être nommées par Cosmos Labs. Bubblemaps estime que l'une d'elles pourrait être Nesa. Selon Bubblemaps, un attaquant a renvoyé vers Ethereum l'équivalent de 50 M$ de NES après avoir multiplié son solde par 200, mais une forte glissade (slippage) n'aurait laissé qu'environ 60"000 $ de profit. Bubblemaps ajoute que l'attaque sur Nesa pourrait impliquer un acteur distinct. Les deux autres chaînes n'ont pas été identifiées publiquement. Au 28 août, MANTRA indiquait qu'aucun jeton n'avait été récupéré. KiiChain reproche à Cosmos Labs de ne pas avoir averti les chaînes concernées en amont, ni recommandé un arrêt, avant le 22 août, après les attaques visant MANTRA, TAC et KiiChain. KiiChain affirme que l'exploit nécessitait trois défauts en amont et que seul le sous-dépassement avait été corrigé publiquement. MANTRA estime pour sa part que le correctif du sous-dépassement a fermé la voie d'attaque. Cosmos Labs indique avoir coordonné la réponse avec 40 chaînes, et travaillé avec 13 d'entre elles pour déployer le correctif ou les arrêter avant de nouvelles attaques. L'entreprise dit également avoir découvert 11 déploiements de Cosmos EVM jusque-là non enregistrés au cours de l'intervention.