Cosmos Labs Akui Salah Menilai Bug, Celah Picu Peretasan Enam Chain Senilai US$5,7 Juta

Cosmos Labs mengakui telah keliru menyatakan sebuah celah di Cosmos EVM tidak berisiko, padahal bug tersebut dimanfaatkan penyerang untuk menggasak US$5,7 juta di enam jaringan blockchain pada 20–25 Agustus. Dalam laporan postmortem, Cosmos Labs menyebut dana hasil curian ditukar melalui DEX menjadi sekitar US$2,87 juta aset lain, sementara sekitar US$2,85 juta ditukar lewat bursa terpusat. Akun penyerang di bursa terpusat disebut telah dibekukan menunggu investigasi otoritas terkait. Celah itu pertama kali dilaporkan lewat program bug bounty Cosmos pada 25 April. Cosmos Labs mengatakan tim pengujinya tidak dapat mereproduksi serangan pada konfigurasi yang digunakan chain Cosmos yang beroperasi, lalu menyimpulkan dana di jaringan tersebut tidak terancam. Atas dasar itu, perusahaan memilih menutup kerentanan lewat mekanisme "silent public patch", bukan distribusi patch privat. Akar masalahnya adalah integer underflow yang dapat membuat dompet penyerang seolah memiliki token dalam jumlah nyaris tak terbatas. Saldo yang "mengembang" itu kemudian dapat dipindahkan ke akun target, dan target berakhir tanpa saldo. Proses ini tidak mencetak token baru sehingga total pasokan secara efektif tidak berubah. MANTRA menyatakan eksploit tersebut hanya menggeser pasokan sebesar satu unit dasar. Cosmos Labs menyebut target serangan mencakup akun-akun arbitrer dengan saldo besar, termasuk burn address dan dompet multisignature. Peringatan kritis berlaku untuk rilis Cosmos EVM sebelum v0.6.2 dan v0.7.2. Perbaikan sudah digabungkan pada Mei, saat Cosmos Labs masih meyakini chain yang live tidak terdampak. Dalam 13 bulan terakhir, perusahaan mengklaim telah menambal 37 kerentanan melalui proses patch senyap itu. Menurut postmortem, peneliti independen pada awal Agustus memastikan celah tersebut memengaruhi seluruh chain Cosmos EVM. Cosmos Labs merilis patch pada 19 Agustus pukul 7:01 malam ET, dengan catatan rilis yang hanya menyebut "perbaikan keamanan penting". Serangan pertama dimulai sekitar 20 jam kemudian. MANTRA menilai 20 jam tidak cukup untuk menilai risiko, menguji, dan mengoordinasikan upgrade di antara 38 validator independen. Seorang pengembang Push Chain memaparkan kerentanan dan jalur eksploitasinya secara publik pada 20 Agustus pukul 3:16 pagi ET, sembari mengreditkan audit dari Hacken dan mencantumkan versi yang terdampak. MANTRA menyebut temuan keamanan diajukan 11 jam 45 menit sebelum probe pertama penyerang. MANTRA kehilangan 720,9 juta token MANTRA yang saat itu bernilai sekitar US$3,6 juta. Token tersebut tersedot dari burn address dan sebuah dompet multisignature yang tidak aktif. MANTRA menghentikan chain pada 20 Agustus pukul 7:13 malam ET, lalu kembali beroperasi lebih dari 30 jam kemudian dengan perangkat lunak yang sudah ditambal tanpa rollback. TAC dilaporkan kehilangan hampir 3 miliar TAC dari staking pool pada 22 Agustus. Sekitar 1,2 miliar TAC dijual di BNB Chain dengan nilai sekitar US$950.000. KiiChain kehilangan sekitar 148 juta KII pada malam yang sama; sekitar 64,6 juta KII dijual senilai kira-kira US$1,6 juta. Cosmos Labs menyatakan sekitar 54% KII yang diambil masih dapat dipulihkan secara onchain jika jaringan dipulihkan. Tiga chain lain juga diserang dengan metode serupa, tetapi tidak diungkap namanya oleh Cosmos Labs. Bubblemaps menyebut salah satunya kemungkinan Nesa. Menurut Bubblemaps, penyerang memindahkan US$50 juta NES kembali ke Ethereum setelah menggelembungkan saldo 200 kali lipat, tetapi slippage ekstrem membuat keuntungan bersih hanya sekitar US$60.000. Bubblemaps menambahkan serangan Nesa mungkin melibatkan pihak terpisah. Dua chain lainnya belum teridentifikasi secara publik. MANTRA menyatakan hingga 28 Agustus belum ada token yang berhasil dipulihkan. KiiChain menuding Cosmos Labs tidak memberi pemberitahuan awal kepada chain yang terdampak atau merekomendasikan penghentian operasi sampai 22 Agustus, setelah MANTRA, TAC, dan KiiChain keburu diserang. KiiChain juga menyebut eksploit membutuhkan tiga cacat upstream, sementara yang dipatch secara publik hanya underflow. MANTRA menyatakan perbaikan underflow menutup jalur serangan. Cosmos Labs mengatakan pihaknya berkoordinasi dengan 40 chain selama respons insiden, bekerja bersama 13 chain lain untuk menambal kerentanan atau menghentikan operasi sebelum serangan lanjutan. Perusahaan juga mengaku menemukan 11 deployment Cosmos EVM yang sebelumnya tidak terdaftar selama penanganan insiden.