Cosmos Labs、$570万規模のSixChainハッキングにつながった不具合を"誤って安全"と判定したと認める

Cosmos Labsは、Cosmos EVMに存在した欠陥を誤って問題なしと判断し、攻撃者が8月20日から8月25日にかけて6つのブロックチェーンネットワークで総額570万ドル相当を盗み出すのに悪用されたと明らかにした。攻撃者は分散型取引所で盗難トークンを約287万ドル分の別資産に交換し、中央集権型取引所（CEX）でも約285万ドル分を交換した。事後報告書（ポストモーテム）によれば、当局の調査に伴い攻撃者のCEX口座は凍結されているという。 問題の欠陥は4月25日、Cosmosのバグバウンティプログラムを通じて研究者から報告されていた。Cosmos Labsは、稼働中のCosmosチェーンが用いる設定ではテスターが攻撃を再現できず、対象ネットワークの資金は危険にさらされていないと結論づけたとしている。この判断を前提に、同社はプライベート配布によるパッチ提供ではなく、"サイレント"な公開パッチ手順で対応した。 欠陥の中核は整数のアンダーフローで、攻撃用ウォレットの残高が実質的に無限のトークンを保有しているように見える状態を作り出せた。攻撃者は膨張した残高を対象アカウントに送金し、対象側の残高をゼロに近い状態へ落とすことが可能だった。トークン自体が新規発行されるわけではなく、総供給量は実質的に変化しない。MANTRAは、この手口により供給量が1ベース単位だけ動いたと説明している。Cosmos Labsによれば標的は、バーンアドレスやマルチシグウォレットなど、大きな残高を持つ任意のアカウントが含まれていた。 重大アドバイザリーの対象は、v0.6.2以前およびv0.7.2以前のCosmos EVMリリース。Cosmos Labsは、稼働チェーンは影響を受けないと考えたまま5月に修正をマージしていた。同社は過去13カ月で、このサイレント公開パッチ手順により37件の脆弱性を修正してきたとも述べた。 一方、ポストモーテムによると、独立研究者が8月上旬、当該欠陥がすべてのCosmos EVMチェーンに影響することを突き止めた。Cosmos Labsは米東部時間（ET）8月19日午後7時01分にパッチをリリースしたが、リリースノートでは内容を"重要なセキュリティ修正"とだけ記載した。最初の攻撃は約20時間後に始まった。MANTRAは、38の独立バリデーター間で評価、テスト、アップグレード調整を行うには20時間では不十分だったとしている。 8月20日午前3時16分（ET）にはPush Chainの開発者が、脆弱性と悪用経路を公に説明し、Hackenによる監査に言及した上で影響バージョンを列挙した。MANTRAによると、このセキュリティ指摘は攻撃者による最初の探索（プローブ）の11時間45分前に提出されていた。 被害の内訳では、MANTRAが当時約360万ドル相当のMANTRAトークン7億2,090万枚を喪失。バーンアドレスと休眠状態のマルチシグウォレットから流出した。MANTRAは8月20日午後7時13分（ET）にチェーンを停止し、ロールバックを行わず、パッチ適用ソフトウェアで30時間超後に再開した。 TACは8月22日、ステーキングプールから約30億TACを失い、うち約12億TACがBNB Chain上で約95万ドルで売却された。KiiChainも同日夜に約1億4,800万KIIを失い、約6,460万KIIが約160万ドルで売却された。Cosmos Labsは、奪取されたKIIの約54%はネットワークが復旧すればオンチェーンで回収可能な状態にあるとしている。 同じ手法で他に3チェーンが攻撃を受けたが、Cosmos Labsは名称を公表していない。Bubblemapsはそのうち1つがNesaである可能性を指摘し、攻撃者が残高を200倍に膨張させた後、NESを5,000万ドル相当分イーサリアムへ移したと述べた。極端なスリッページにより利益は6万ドルにとどまったという。Bubblemapsは、Nesaの件は別の主体が関与した可能性もあるとしている。残る2チェーンは公に特定されていない。 MANTRAは8月28日時点でトークンの回収は行われていないと説明。KiiChainは、Cosmos Labsが影響チェーンに事前通知を行わず、停止の推奨も8月22日になってからで、MANTRA、TAC、KiiChainが攻撃を受けた後だったと主張した。KiiChainは、悪用には上流の欠陥が3つ必要で、公にパッチが当たったのはアンダーフローのみだとも述べている。一方、MANTRAはアンダーフロー修正により攻撃経路は閉じられたとする。 Cosmos Labsは、対応の過程で40のチェーンと連携し、さらに13チェーンと協力して脆弱性修正または追加攻撃を防ぐための停止を実施したと説明。対応中に、未登録のCosmos EVMデプロイメントを11件発見したとも明らかにした。