Una vulnerabilità critica nella gestione dei saldi del modulo Cosmos EVM è stata sfruttata per sottrarre fondi da sei blockchain, nonostante Cosmos Labs fosse a conoscenza del problema e avesse già rilasciato le patch necessarie. L'incidente solleva interrogativi sulla gestione delle comunicazioni di sicurezza e sulla protezione degli utenti.
Cosmos Labs ha segnalato che una grave vulnerabilità nella gestione dei saldi del modulo Cosmos EVM è stata sfruttata tra il 20 e il 25 agosto 2026, portando al drenaggio di fondi da sei blockchain. Il difetto, identificato come GHSA-7g4w-cg88-2cq2 e classificato come Critico, è stato pubblicato senza CVE, classificazione di debolezza o punteggio CVSS. Le versioni colpite sono quelle precedenti alla 0.6.2 e dalla 0.7.0 fino alla 0.7.2 esclusa; la correzione è stata distribuita il 19 agosto nelle versioni 0.6.2 e 0.7.2. Gli operatori di rete sono stati invitati ad aggiornare immediatamente, poiché la modifica è incompatibile con lo stato precedente e richiede un upgrade coordinato. In alternativa, è stato consigliato di fermare la produzione di blocchi anziché tentare un aggiornamento tramite governance.
Errore di valutazione e gestione della patch
Nel post-mortem pubblicato il 28 agosto, Cosmos Labs ha spiegato che la vulnerabilità era stata segnalata tramite il programma bug bounty già il 25 aprile, ma inizialmente era stata ritenuta non rischiosa per i fondi sulle reti attive. "Non siamo riusciti a riprodurre il problema sulle reti a 18 decimali e abbiamo concluso erroneamente che riguardasse solo quelle con diversa configurazione", ha dichiarato Cosmos Labs. Solo il 13 agosto il team ha confermato che tutte le chain Cosmos EVM erano vulnerabili, indipendentemente dalla configurazione. La patch è stata quindi gestita tramite il processo di silent patch, normalmente riservato a problemi che non causano perdita di fondi in produzione.
Contrasto tra policy e azioni effettive
Secondo la policy pubblicata da Cosmos Labs, in caso di rischio immediato o diffuso, la correzione dovrebbe essere distribuita privatamente tramite canali sicuri prima della divulgazione pubblica. Tuttavia, poiché la patch era già pubblica e non risultavano exploit noti, il team ha optato per la silent patch. Questo approccio si è rivelato insufficiente, dato che la vulnerabilità è stata sfruttata poco dopo la pubblicazione della patch.
Dettagli tecnici della vulnerabilità
Il difetto risiede nel codice che sincronizza lo stato dell'Ethereum Virtual Machine con il modulo x/bank del Cosmos SDK. In particolare, la gestione dei saldi spendibili e bloccati degli account vesting non era corretta: una delega superiore al saldo spendibile causava un underflow non controllato, portando a un wrap del saldo e consentendo all'attaccante di sottrarre o bruciare fondi. Le chain con versione 0.6.x subivano un overflow che bloccava la rete, mentre quelle con 0.7.x accettavano modifiche che sopravvivevano alla conversione tra tipi di dato.
Azioni consigliate agli operatori
Cosmos Labs ha raccomandato agli operatori di: aggiornare alle versioni corrette tramite upgrade coordinato; fermare la chain se l'aggiornamento immediato non è possibile; bloccare la creazione di nuovi account vesting tramite ante handler; verificare il percorso del codice live su fork; applicare anche le due correzioni non menzionate nell'avviso ufficiale; registrare un contatto di sicurezza con Cosmos Labs. Durante l'incidente, sono state individuate undici implementazioni Cosmos EVM mai registrate nei canali di sicurezza ufficiali.
Tempistiche e impatto economico
La vulnerabilità è stata descritta pubblicamente in un pull request del fork Push Chain il 20 agosto, poche ore dopo il rilascio delle patch. Il primo attacco, contro MANTRA, è avvenuto meno di dodici ore dopo. Cosmos Labs ha notificato privatamente le reti solo dopo la segnalazione di exploit. In totale, sono stati sottratti circa 2,87 milioni di dollari in asset su DEX e altri 2,85 milioni su exchange centralizzati, secondo stime fornite dalle chain colpite e dati pubblici.
Criticità nella comunicazione e nella sicurezza
Cosmos Labs ha ammesso di aver rilasciato 37 patch di sicurezza in modo silente negli ultimi 13 mesi, senza che gli sviluppatori downstream ricevessero dettagli sugli exploit. Le note di rilascio delle versioni 0.6.2 e 0.7.2 menzionano solo genericamente la presenza di fix importanti, senza dettagliare la natura della vulnerabilità. L'ecosistema Cosmos conta oltre 115 blockchain pubbliche, ma la società non dispone di un registro completo delle reti che utilizzano il proprio software, una lacuna già emersa in precedenti incidenti di sicurezza.
Domande aperte sulla gestione della crisi
The Hacker News ha contattato Cosmos Labs per chiarimenti sul motivo per cui la patch non sia stata distribuita privatamente dopo la conferma della vulnerabilità su tutte le chain. Eventuali risposte saranno riportate in aggiornamenti futuri.
