Cosmos Labs reconhece erro ao liberar correção e falha em Cosmos EVM é usada em ataque de US$ 5,7 milhões em seis redes

A Cosmos Labs afirmou que liberou por engano uma correção relacionada a uma falha no Cosmos EVM, explorada por atacantes para desviar US$ 5,7 milhões em seis redes blockchain entre 20 e 25 de agosto. Segundo a empresa, os invasores converteram os tokens roubados em cerca de US$ 2,87 milhões em outros ativos via DEXs e trocaram outros US$ 2,85 milhões em CEXs. O relatório pós-incidente diz que as contas dos atacantes em corretoras centralizadas foram congeladas, aguardando investigação das autoridades competentes. A vulnerabilidade havia sido reportada em 25 de abril por um pesquisador, por meio do programa de bug bounty do Cosmos. A Cosmos Labs disse que seus testes não conseguiram reproduzir o ataque na configuração usada pelas cadeias Cosmos em produção e concluiu, à época, que os fundos nessas redes não estavam em risco. Com isso, tratou a falha pelo seu processo de "patch público silencioso", e não pelo mecanismo de distribuição privada de correções. O problema envolvia um underflow de inteiro, capaz de fazer carteiras maliciosas parecerem deter uma quantidade efetivamente infinita de tokens. A partir daí, os atacantes conseguiam transferir esse saldo inflado para uma conta-alvo e deixar o alvo sem nada. O processo não criava novos tokens; a oferta total permanecia, na prática, inalterada. A MANTRA afirmou que, no seu caso, o exploit deslocou a oferta em apenas uma unidade base. A Cosmos Labs disse que os alvos incluíam contas arbitrárias com grandes saldos, como endereços de queima (burn addresses) e carteiras multisig. O alerta crítico abrange versões do Cosmos EVM anteriores a v0.6.2 e v0.7.2. A empresa informou que incorporou uma correção em maio, ainda acreditando que as cadeias em produção não eram afetadas, e que, nos últimos 13 meses, aplicou 37 correções por esse mesmo processo. De acordo com o pós-mortem, pesquisadores independentes concluíram no início de agosto que a falha afetava todas as cadeias que rodavam Cosmos EVM. A Cosmos Labs publicou o patch às 19h01 (ET) de 19 de agosto, e as notas de versão mencionavam apenas "correções importantes de segurança". O primeiro ataque começou cerca de 20 horas depois. A MANTRA disse que 20 horas não eram suficientes para avaliar, testar e coordenar uma atualização entre 38 validadores independentes. Um desenvolvedor da Push Chain descreveu publicamente a vulnerabilidade e o caminho de exploração às 03h16 (ET) de 20 de agosto, citando uma auditoria da Hacken e listando as versões afetadas. A MANTRA disse que o achado de segurança foi registrado 11 horas e 45 minutos antes da primeira sondagem do invasor. A MANTRA perdeu 720,9 milhões de tokens MANTRA, avaliados então em cerca de US$ 3,6 milhões. Os ativos foram drenados de um burn address e de uma carteira multisig inativa. A rede MANTRA foi interrompida às 19h13 (ET) de 20 de agosto e retomou mais de 30 horas depois, já com software corrigido e sem rollback. A TAC perdeu quase 3 bilhões de TAC do seu pool de staking em 22 de agosto. Aproximadamente 1,2 bilhão de TAC foram vendidos na BNB Chain por cerca de US$ 950 mil. A KiiChain perdeu cerca de 148 milhões de KII na mesma noite; aproximadamente 64,6 milhões de KII foram vendidos por cerca de US$ 1,6 milhão. A Cosmos Labs afirmou que cerca de 54% dos KII levados ainda são recuperáveis on-chain caso a rede seja restaurada. Outras três cadeias também foram atacadas pelo mesmo método, mas a Cosmos Labs não as identificou. A Bubblemaps afirmou que uma delas pode ser a Nesa. Segundo a Bubblemaps, um atacante moveu US$ 50 milhões em NES de volta ao Ethereum após inflar o saldo em 200 vezes, mas a derrapagem (slippage) extrema teria reduzido o ganho para apenas US$ 60 mil. A empresa acrescentou que o episódio na Nesa pode ter envolvido uma parte diferente. As duas demais cadeias não foram identificadas publicamente. A MANTRA disse que nenhum token havia sido recuperado até 28 de agosto. A KiiChain afirmou que a Cosmos Labs não avisou previamente as cadeias afetadas nem recomendou a paralisação até 22 de agosto, depois de MANTRA, TAC e KiiChain já terem sido atingidas. A KiiChain disse ainda que o exploit dependia de três defeitos upstream e que apenas o underflow havia sido corrigido publicamente. A MANTRA afirmou que a correção do underflow fechou o caminho do ataque. A Cosmos Labs informou que coordenou a resposta com 40 cadeias e trabalhou com outras 13 para corrigir a vulnerabilidade ou interromper operações antes de novos ataques. Durante o processo, disse ter identificado 11 implantações de Cosmos EVM que não estavam previamente registradas.