Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Cosmos EVM Flaw Exploited After Cosmos Labs Knew Every Blockchain Running It Was Vulnerable

1 minute de lecture

Mis à jour :

Vulnérabilité critique dans le module Cosmos EVM : exploitation et failles de communication

Une faille de sécurité critique dans le module Cosmos EVM a été exploitée entre le 20 et le 25 août 2026, entraînant le vol d’environ 5,7 millions de dollars sur six blockchains différentes. Cette vulnérabilité permettait de manipuler les soldes des comptes de “vesting” via un dépassement d’entier (underflow), rendant possible le vol de fonds ou l’arrêt du réseau.

Points clés :

  • Nature de la faille : Un défaut de réconciliation entre le module x/bank de Cosmos SDK et le StateDB de l’EVM, provoquant un dépassement d’entier lors de la délégation de soldes verrouillés.
  • Gestion défaillante : Cosmos Labs, bien qu’informé de la criticité en août, a opté pour un correctif public silencieux (« silent patch »), contrevenant à sa propre politique de sécurité qui exige une communication privée pour les risques immédiats.
  • Impact : Six blockchains ont été exploitées avant que les opérateurs ne puissent appliquer les correctifs.

Vulnérabilité identifiée :

  • Référence : GHSA-7g4w-cg88-2cq2 (sans CVE officiel).
  • Versions affectées : < 0.6.2 et >= 0.7.0 < 0.7.2.

Recommandations pour les opérateurs de chaînes :

  • Mise à jour immédiate : Passer aux versions v0.6.2 ou v0.7.2 (ou ultérieures) via une mise à jour coordonnée du réseau, car ces changements affectent l’état de la blockchain.
  • Arrêt d’urgence : Si une mise à jour immédiate est impossible, il est recommandé d’arrêter la production de blocs plutôt que de tenter une procédure de gouvernance lente.
  • Mesures préventives : Bloquer la création de nouveaux comptes de vesting (MsgCreateVestingAccount, MsgCreatePermanentLockedAccount, MsgCreatePeriodicVestingAccount) au niveau du gestionnaire d’antépaiement (ante handler).
  • Vérification technique : S’assurer que les correctifs appliqués couvrent bien toutes les implémentations (attention aux duplications de code dans les forks).
  • Communication : Enregistrer ses coordonnées auprès des canaux de sécurité de Cosmos Labs pour recevoir les alertes critiques.

Source

Vous pourriez aimer