Уразливість Cosmos EVM вразила мережі Nesa, KiiChain, TAC і MANTRA

Спільний стек Cosmos EVM став джерелом уразливості, яку вже використали в мережі Nesa Chain. Зловмисник зміг створити та перевести через міст на Ethereum близько $50 млн у токенах NES. Попри гучну номінальну суму, через обвал ліквідності реальний фінансовий результат, за оцінками, склав лише близько $60 тис. чистого прибутку. Інцидент вказує на ширшу проблему безпеки для низки блокчейн-проєктів, що використовують Cosmos EVM — фреймворк, який додає до ланцюгів на Cosmos SDK сумісність зі смартконтрактами та інструментами Ethereum. В офіційному репозиторії Cosmos EVM його описують як "plug-and-play" EVM-шар, який застосовується в кількох блокчейн-проєктах. За даними розслідування, атака стартувала з гаманця 0x9AE7, який попередньо придбав приблизно $250 тис. у NES, після чого перевів токени до Nesa Chain. Аналітична компанія Bubblemaps простежила первинне фінансування цього гаманця до Monero. Після експлуатації уразливості зловмисник збільшив баланс NES приблизно у 200 разів і вивів назад на Ethereum близько $50 млн у токенах. Далі активи розподілили між вісьмома гаманцями, обміняли на ETH через децентралізовані біржі та спрямували в бік централізованих платформ. Втім, цифра $50 млн не відображала того, що реально можна було монетизувати. Під час спроб продажу ліквідність швидко зникала, а прослизання стало критичним. Витрати зловмисника оцінюють приблизно у $255 тис., повернення — близько $315 тис., що й дає орієнтовний прибуток на рівні $60 тис. Ризик поширюється не лише на Nesa. Cosmos Labs рекомендувала мережам, які працюють на вразливих версіях Cosmos EVM, призупинити роботу та оновитися, поки тривають роботи з пом'якшення наслідків. Про інциденти вже повідомляли KiiChain, TAC і MANTRA. KiiChain заявила, що атакувальник повторив техніку експлойту 18 разів і встиг вивести 148,326,583.15 KII до того, як валідатори зупинили ланцюг. TAC також призупинила роботу після того, як зловмисник спустошив один із акаунтів. MANTRA раніше ставила операції на паузу і згодом відновила роботу після застосування виправлення. Подія відбувається на тлі особливо активного року для криптозламів. Лише у липні, за оцінками, з криптоплатформ викрали близько $247.4 млн, а мости залишаються однією з найчастіших цілей, йдеться в останньому звіті Coinpaper про злами. У більш свіжому інциденті з SAND також фігурувало несанкціоноване карбування токенів через кросчейн-інфраструктуру. Критичні уразливості в Cosmos EVM виникали й раніше. У березневому security advisory описували попередню помилку обробки стану, яка могла дозволяти багаторазово використовувати токенові баланси під час вкладеного виконання EVM; тоді проблему виправили у версії 0.6.0. Точну першопричину нинішнього інциденту наразі публічно не розкрито.