Cosmos EVM : six blockchains touchées par une faille critique et 5,7 millions de dollars volés

Deux arrêts de blockchain en quelques jours, mais deux attaques différentes. Alors que Cronos a suspendu son réseau après une manipulation du prix du TONIC sur le protocole Tectonic, Cosmos Labs publie le bilan d’une autre offensive ayant touché six blockchains entre le 20 et le 25 août.

Cette fois, aucune manipulation de marché : les attaquants ont exploité une faille critique dans Cosmos EVM, le logiciel partagé permettant aux réseaux de l’écosystème Cosmos d’exécuter des applications compatibles avec Ethereum. L’incident aurait permis de convertir environ 5,7 millions de dollars d’actifs volés. Mais l’affaire met surtout en cause la gestion de la vulnérabilité, signalée plusieurs mois avant les premières attaques.

Une faille signalée aux équipes de Cosmos dès le mois d’avril

La vulnérabilité provenait d’une incohérence entre Cosmos EVM et le module chargé de comptabiliser les soldes dans Cosmos SDK. En combinant deux erreurs dans une même transaction, l’attaquant pouvait provoquer un sous-flux numérique : lorsqu’un solde descendait sous zéro, sa valeur revenait artificiellement au maximum autorisé par le système.

Cette somme fictive servait ensuite à vider une autre adresse détenant de véritables jetons, notamment une adresse de destruction ou un ancien portefeuille multisignature. Aucun jeton n’était directement créé au terme de l’opération : les actifs existants étaient transférés vers le portefeuille de l’attaquant.

La faille avait pourtant été signalée au programme de récompense de Cosmos le 25 avril. Les équipes n’étaient pas parvenues à reproduire l’attaque sur les configurations utilisées en production et avaient conclu que les fonds n’étaient pas menacés. Un correctif avait alors été intégré discrètement, sans alerte critique destinée aux opérateurs.

De nouvelles analyses ont révélé début août que l’ensemble des réseaux Cosmos EVM étaient potentiellement vulnérables. Les versions corrigées 0.6.2 et 0.7.2 ont été publiées le 19 août, seulement vingt heures avant la première attaque connue.

Six blockchains touchées par cette vulnérabilité

MANTRA a été la première victime identifiée. Environ 720,9 millions de jetons, alors valorisés à 3,6 millions de dollars, ont été prélevés sur une adresse de destruction et un ancien portefeuille multisignature. Le réseau a été arrêté près de quatre heures après la première transaction, puis relancé sans revenir sur l’historique de la blockchain.

TAC et KiiChain ont ensuite subi des attaques similaires. Cosmos Labs évoque six réseaux touchés au total, mais deux d’entre eux n’ont pas été nommés. Nesa pourrait également figurer parmi les victimes, sans confirmation officielle. Les fonds convertis atteindraient environ 2,87 millions de dollars sur des plateformes décentralisées et 2,85 millions sur des plateformes centralisées. Les comptes utilisés sur ces dernières auraient depuis été gelés.

La polémique porte désormais sur la réaction de Cosmos Labs. KiiChain reproche notamment au développeur d’avoir recommandé l’arrêt des réseaux seulement après plusieurs attaques, alors qu’une suspension pouvait être exécutée plus rapidement qu’une mise à jour coordonnée. Cosmos Labs reconnaît des « erreurs d’évaluation » et promet de « revoir ses procédures de traitement et de divulgation des vulnérabilités critiques ».