Autor: Gu Yu, ChainCatcher
Nos últimos dias, o ecossistema Cosmos sofreu uma "catástrofe de segurança" que poderia ter sido evitada. Blockchains que utilizam o módulo Cosmos EVM, como MANTRA, TAC, KiiChain e Nesa, foram atacadas sucessivamente, com os fundos de reserva do protocolo nos cofres das carteiras sendo roubados em massa e rapidamente vendidos pelos hackers, fazendo com que as moedas KII, TAC e NES despencassem mais de 90% em poucas horas, causando perdas significativas para muitos detentores.
Inicialmente, o mercado não prestou atenção aos fatores comuns por trás desses acidentes — todos eram blockchains da cadeia Cosmos, pois ataques de hackers no mercado de criptomoedas já eram comuns, mas só ontem o mercado percebeu que todos esses acidentes derivam da atualização de código v0.7.2 lançada pela Cosmos Labs no Github em 19 de agosto.
Cosmos Labs escreveu nesta página do GitHub: "Esta versão contém correções de segurança importantes. Recomendamos que todos os blocos atualizem para esta versão de correção o mais rápido possível por meio de uma atualização coordenada. Esta liberação é disruptiva." A urgência expressa no texto reflete a gravidade da vulnerabilidade.
No entanto, as ações da Cosmos Labs são confusas: eles tornaram públicos os patches de segurança, mas não enviaram nenhum aviso privado nem notificação obrigatória de atualização às equipes dos projetos que dependem desse módulo. Isso é como pendurar as chaves do cofre na praça pública, com um cartaz dizendo “Por favor, peguem rapidamente”, dando a indivíduos mal-intencionados tempo suficiente para estudar e implementar ataques.
“Se os atacantes conseguem ler o GitHub, as equipes downstream precisam de algo melhor que o GitHub. Vazamentos sempre ocorrerão. O critério para avaliar a infraestrutura empresarial são todas as ações após o vazamento: quem foi exposto, quem recebeu alertas, quem recebeu patches, e se foram os clientes ou os atacantes que agiram primeiro. Precisamos do relatório completo de pós-incidente da Cosmos Labs. Mas não há como disfarçar: a falha de coordenação foi muito grave.” disse o desenvolvedor @justde.
A KiiChain atacada também publicou uma declaração acusando diretamente a Cosmos Labs por sua atitude irresponsável e afirmou que este acidente “poderia ter sido evitado”.
A KiiChain afirmou que, quando o Cosmos Labs divulgou o comunicado na sexta-feira, vinculou o patch a um conjunto de problemas anteriormente tratados de forma privada. Na época, o assunto não foi classificado como extremamente urgente, como se fosse uma vulnerabilidade grave capaz de causar perda permanente de fundos. Eles também não recomendaram a suspensão de todas as cadeias.
A KiiChain também divulgou os princípios específicos do ataque. O ataque exige a ocorrência simultânea de três falhas upstream no módulo Cosmos EVM: um underflow ao escrever de volta o saldo após a delegação no precompilado de staking, além de outras duas vulnerabilidades ainda não divulgadas. O código específico da KiiChain não participou desse ataque. Todas as cadeias Cosmos EVM com contas de atribuição habilitadas apresentam o mesmo risco.
Mais lamentável ainda é que esse tipo de ataque continuou até a noite de 24, e a equipe do projeto Nesa imediatamente publicou um aviso e tomou medidas para suspender a blockchain. “Detectamos comportamentos maliciosos explorando a vulnerabilidade do Cosmos EVM na L1 e estamos tomando medidas para conter o impacto. Já agimos rapidamente e restauraremos os serviços após a aplicação das correções de software e outras medidas de remediação para garantir uma operação segura.”
Neste momento, o token Nesa caiu mais de 94%, de US$ 0,22 para US$ 0,011. Poucos projetos conseguem se recuperar após quedas desse tipo.
No entanto, a equipe do projeto ainda não tomou medidas proativas para evitar riscos após múltiplos incidentes de segurança no Cosmos EVM e após os problemas terem sido expostos por pelo menos dois dias, o que demonstra uma séria deficiência na equipe técnica do projeto em termos de consciência de risco e responsabilidade.
Desde o dia 21, a MANTRA já havia declarado publicamente que identificou a causa raiz do evento, limitando-se ao módulo Cosmos EVM da MANTRA Chain.
À medida que as discussões aumentavam, a resposta pública da Cosmos Labs chegou atrasada: “Um evento de segurança em andamento afetou os usuários do módulo Cosmos EVM. A equipe de segurança e engenharia da Cosmos Labs já respondeu proativamente a este evento. Sugerimos que as cadeias Cosmos EVM que nos contataram peçam aos validadores que pausem suas cadeias.”
No entanto, era tarde demais: críticas e decepção de todas as partes inundaram as redes sociais. “Eles mantêm um módulo EVM compartilhado do qual dezenas de cadeias dependem, mas quando surgiu uma vulnerabilidade crítica no precompilado, não publicaram patches ativamente no canal principal, não forneceram PoC claro nem orientação coordenada para implantação. Essas cadeias são downstream do seu código. A sua função é publicar patches de segurança rapidamente + PoC prontos para implantação, para que todo o ecossistema possa atualizar-se limpa e eficientemente. Em vez disso, recebemos uma destruição silenciosa upstream, com cada equipe lutando sozinha.” disse o desenvolvedor @justde.
Atualmente, o token Cosmos, ATOM, tem uma capitalização de mercado de US$ 800 milhões, ocupando a 68ª posição entre todos os tokens, mas sofreu uma queda de mais de 95% em relação ao seu pico.
Seu ecossistema também enfrentou dificuldades contínuas nos últimos anos, com projetos do ecossistema Cosmos, como Neutron, Mars Protocol, Pryzm, Leap Wallet e Cosmostation, anunciando a interrupção de suas operações nos últimos seis meses, enquanto projetos como Secret Network e Noble declararam abandonar o ecossistema Cosmos para construir suas próprias Layer1 ou migrar para o ecossistema Ethereum.
Este série de roubos sem dúvida expôs novamente as deficiências profundas do Cosmos em auditoria de segurança do código subjacente, mecanismos de coordenação entre cadeias e sistemas de resposta a emergências.
Vulnerabilidades de segurança podem ser inevitáveis, mas a lógica absurda de “lançar patches públicos sem notificar os downstream” e as diversas atuações de “equipes amadoras” são suficientes para deixar todos os construtores com medo.