Cosmos EVMの脆弱性がNesa、KiiChain、TAC、MANTRAに波及—複数チェーンで被害

Cosmos EVMの共通スタックに存在する脆弱性がNesa Chainで悪用され、攻撃者が約5,000万ドル相当のNESトークンを不正に生成し、Ethereumへブリッジした。ポジションの名目額は巨額だった一方、売却局面で流動性が急速に枯渇し、最終的な純利益は約6万ドルにとどまったとみられる。 今回の事案は、Cosmos SDKチェーン上でEthereum互換のスマートコントラクトとツール群を利用可能にするフレームワーク"Cosmos EVM"を採用する複数ネットワークにまたがるセキュリティ問題の一環とされる。公式リポジトリではCosmos EVMを、複数のブロックチェーンプロジェクトで利用されるプラグアンドプレイ型のEVMレイヤーと位置付けている。 報道によれば、攻撃はウォレット"0x9AE7"から始まった。同ウォレットはまず約25万ドル分のNESを取得し、Nesa Chainへブリッジ。ブロックチェーン分析企業Bubblemapsは、初期資金がMoneroに由来すると追跡したという。脆弱性の悪用後、攻撃者はNES残高を約200倍に膨張させ、約5,000万ドル分をEthereumへ戻した。資産は8つのウォレットに分散されたうえでDEXでETHへ交換され、中央集権型プラットフォーム側へ送られた。 ただし、見出し級の金額は実現可能な利益を大きく上回っていた。売却を試みた段階で流動性が消失し、深刻なスリッページが発生。攻撃者は約25万5,000ドルを投じ、約31万5,000ドルを回収したとされ、差し引きの利益は約6万ドル程度と推定される。 リスクはNesaに限らない。Cosmos Labsは、影響を受けるCosmos EVMのバージョンを運用するチェーンに対し、対策作業が進む間は停止のうえアップグレードするよう助言した。すでにKiiChain、TAC、MANTRAなどがインシデントを公表している。 KiiChainは、攻撃者が同手口を18回繰り返し、バリデーターがチェーンを停止するまでに148,326,583.15 KIIが流出したと説明。TACも、攻撃者がアカウントから資金を引き出した後に停止した。MANTRAは、以前に運用を一時停止したのち修正を適用して再開したとしている。 暗号資産分野では今年、攻撃が例年になく活発化している。Coinpaperの最新ハックレポートによれば、7月だけで暗号資産プラットフォーム全体の被害額は約2億4,740万ドルに達し、ブリッジは引き続き主要な標的となっている。直近のSANDを巡る事案でも、クロスチェーン基盤を介した無許可のトークン発行が問題となった。 Cosmos EVMは過去にも重大な脆弱性が指摘されている。3月のセキュリティアドバイザリでは、ネストされたEVM実行中にトークン残高を繰り返し利用できる可能性のある状態処理の欠陥が示され、バージョン0.6.0で修正された。今回の最新インシデントについて、根本原因の詳細は現時点で公表されていない。