Cosmos Labs признала ошибочную оценку уязвимости, шесть цепочек подверглись атаке на сумму $5,7 млн

ChainCatcher сообщает, что Cosmos Labs опубликовала технический отчет, в котором признала ранее ошибочную оценку уязвимости целочисленного переполнения в Cosmos EVM, что привело к атакам на шесть блокчейн-сетей с 20 по 25 августа, в результате которых было украдено токенов на сумму около 5,7 млн долларов США. Злоумышленник использовал эту уязвимость, чтобы свести баланс счета к максимальному значению 2^256-1, а затем обратным образом вывести завышенный баланс, тем самым похитив токены целевого счета, без создания токенов из ничего. Согласно отчету, исследователи сообщили об этой уязвимости через программу вознаграждения за уязвимости 25 апреля, однако тестировщики не смогли воспроизвести ее в текущей конфигурации Cosmos-цепочек, и Cosmos Labs устранила проблему 5 мая с помощью тихого патча. После того как независимые исследователи подтвердили в начале августа, что уязвимость затрагивает все Cosmos EVM-цепочки, Cosmos Labs выпустила патч 19 августа, но первая атака произошла примерно через 20 часов. В частности, MANTRA потеряла 7,209 млрд токенов (около 3,6 млн долларов США), TAC — почти 3 млрд токенов TAC, а KiiChain — около 148 млн токенов KII. MANTRA и KiiChain раскритиковали Cosmos Labs за отсутствие предварительного уведомления затронутых цепочек и рекомендаций о выключении системы; KiiChain отметила, что развертывание патча требует нескольких дней, тогда как выключение системы занимает всего несколько минут. Cosmos Labs заявила, что координировала ответные меры с 40 цепочками и помогла 13 из них завершить исправление или выключение до совершения атак.