Cosmos Labs признала ошибку: уязвимость Cosmos EVM, сочтённая безопасной, привела к взлому SixChain на $5,7 млн

Cosmos Labs сообщила, что ошибочно признала устранённой уязвимость в Cosmos EVM, которой злоумышленники воспользовались для кражи $5,7 млн в шести блокчейн-сетях в период с 20 по 25 августа. Похищенные токены были обменены примерно на $2,87 млн в других активах на децентрализованных биржах, ещё около $2,85 млн — на централизованных площадках. В отчёте по итогам инцидента говорится, что аккаунты злоумышленников на централизованных биржах заморожены до завершения расследования профильными органами. Уязвимость была передана исследователем через программу bug bounty Cosmos 25 апреля. В Cosmos Labs заявили, что тестировщикам не удалось воспроизвести атаку на конфигурации, используемой действующими Cosmos-сетями, и компания сделала вывод, что средства в этих сетях не находятся под угрозой. Поэтому проблему закрыли через процесс "тихого" публичного патча, а не через приватное распространение исправлений. Дефект был связан с целочисленным underflow: из-за него атакующий кошелёк мог выглядеть так, будто располагает фактически бесконечным количеством токенов. Затем злоумышленники переводили "раздутый" баланс на целевой аккаунт, оставляя его с нулём. При этом новые токены не создавались, общий объём эмиссии по сути не менялся; MANTRA отметила, что в её случае эксплойт сдвинул supply всего на одну базовую единицу. По данным Cosmos Labs, целями становились произвольные адреса с крупными остатками, включая burn-адреса и мультиподписные кошельки. Критическое предупреждение касается релизов Cosmos EVM до v0.6.2 и v0.7.2. Исправление было влито (merged) ещё в мае, поскольку компания считала, что боевые сети не затронуты. Cosmos Labs добавила, что за последние 13 месяцев через этот процесс выпустила патчи для 37 уязвимостей. Как следует из постмортема, независимые исследователи в начале августа установили, что баг затрагивает все сети на Cosmos EVM. Патч был опубликован 19 августа в 19:01 по восточному времени США (ET), а в релиз-нотах изменения описали лишь как важные исправления безопасности. Первая атака началась примерно через 20 часов. MANTRA заявила, что 20 часов недостаточно, чтобы оценить риски, протестировать и согласовать апгрейд среди 38 независимых валидаторов. Разработчик Push Chain 20 августа в 03:16 ET публично описал уязвимость и путь эксплуатации, сославшись на аудит Hacken и перечислив затронутые версии. По словам MANTRA, сообщение о проблеме было подано за 11 часов и 45 минут до первой пробной активности атакующего. MANTRA потеряла 720,9 млн токенов MANTRA, которые на тот момент оценивались примерно в $3,6 млн. Средства вывели с burn-адреса и неактивного мультисиг-кошелька. Цепочка MANTRA была остановлена 20 августа в 19:13 ET и возобновила работу более чем через 30 часов уже на пропатченном ПО, без отката (rollback). TAC 22 августа потеряла почти 3 млрд TAC из стейкинг-пула. Около 1,2 млрд TAC были проданы в сети BNB Chain примерно за $950 000. В тот же вечер KiiChain потеряла около 148 млн KII; около 64,6 млн KII были проданы примерно за $1,6 млн. Cosmos Labs сообщила, что ориентировочно 54% похищенных KII остаются потенциально возвращаемыми в ончейне при восстановлении сети. Ещё три сети были атакованы тем же способом, но Cosmos Labs их не назвала. Bubblemaps предположила, что одна из них может быть Nesa: по данным компании, злоумышленник после 200-кратного раздувания баланса перевёл $50 млн в NES обратно в Ethereum, но из-за экстремального проскальзывания получил лишь $60 000 прибыли. Bubblemaps также указала, что атака на Nesa могла быть связана с отдельной стороной. Две другие сети публично не идентифицированы. MANTRA сообщила, что по состоянию на 28 августа токены вернуть не удалось. KiiChain заявила, что Cosmos Labs не предупредила затронутые сети заранее и не рекомендовала останавливать работу до 22 августа — уже после атак на MANTRA, TAC и KiiChain. По версии KiiChain, эксплойт требовал трёх дефектов в upstream-компонентах, при этом публично был исправлен только underflow. MANTRA, в свою очередь, отметила, что патч underflow закрыл путь атаки. Cosmos Labs заявила, что в ходе реагирования координировала действия с 40 сетями и вместе с 13 другими сетями помогла либо установить исправление, либо остановить их до новых атак. Также компания сообщила, что во время расследования обнаружила 11 ранее не зарегистрированных развёртываний Cosmos EVM.