Cosmos Labs рекомендовала EVM‑сетям остановить блоки после атак

Cosmos Labs рекомендовала блокчейнам, использующим модуль Cosmos EVM, немедленно приостановить выпуск блоков и внедрить патчи после серий атак, произошедших с 20 по 22 августа и затронувших сети Mantra, TAC и KiiChain.

Ошибка находилась в общем модуле Cosmos EVM — библиотеке, которая позволяет проектам на базе Cosmos SDK запускать Ethereum‑совместимые смарт‑контракты. Один и тот же код используется несколькими сетями, поэтому уязвимость в модуле дала возможность атаковать сразу несколько проектов.

Детальный отчёт об инциденте опубликовала команда KiiChain. По их данным, злоумышленник повторил эксплуатацию уязвимости 18 раз и вывел около 148 млн токенов KII. После остановки сети удалось заморозить примерно 80,7 млн KII. Около 67,6 млн KII были переведены через межцепочечный мост Hyperlane в BNB Smart Chain: из них 64,6 млн проданы на децентрализованной бирже примерно за $1,61 млн, ещё 3 млн отправлены на депозитный адрес биржи KuCoin.

По информации, поступившей от участников экосистемы, TAC подвергся перемещению примерно 2,99 млрд TAC — около 62% циркулирующего предложения; сеть приостановила производство блоков. Mantra зафиксировала компрометацию двух кошельков, которые контролировала команда проекта; средства пользователей, бирж и партнёров, по заявлению проекта, не пострадали, и сеть возобновила работу после установки исправления.

KiiChain объясняет техническую суть атаки как сочетание трёх дефектов в модуле Cosmos EVM, включая ошибку переполнения при работе функции прекомпиляции стейкинга с балансом в EVM. Злоумышленник заранее вычислил адрес контракта, развернул на нём код, преобразовал контракт в вестинг‑аккаунт и выполнил делегирование на один wei больше доступного баланса. В результате внутренние значения стали некорректными, что позволило выводить реальные средства из атакуемых кошельков без увеличения общего объёма токенов в сети.

KiiChain предупредила, что опубликованное Cosmos Labs обновление может не закрыть все уязвимости, поскольку некоторые баги пока не исправлены публично. Команда также подвергла критике процесс публикации патча: код с исправлением был размещён в публичном репозитории 19 августа, но, по утверждению KiiChain, затронутые проекты не получили предварительного уведомления, а официальное предупреждение появилось только два дня спустя. В комментариях под постом Cosmos Labs появился комментарий: “А вы не торопились. Все в полном раздрае”.

Это уже второй крупный инцидент с безопасностью Cosmos EVM в 2026 году. В январе уязвимость в другом компоненте модуля привела к атаке на Saga EVM с потерями около $7 млн. Сообщается, что соответствующий код был внедрён в основную ветку в июле 2024 года и работал на 15 блокчейнах; на части из них функция изначально оставалась отключённой. Постоянное исправление вышло в версии 0.6.0 в марте.

Точное число сетей, использовавших уязвимый код и потенциально подверженных атаке, пока не раскрывается. На момент публикации Mantra восстановила работу после обновления, тогда как TAC и KiiChain либо остаются остановленными, либо продолжают обновлять программное обеспечение, чтобы ограничить дальнейшие потери и предотвратить новые атаки.