Cosmos veröffentlicht kritischen Patch ohne Vorwarnung – Hacker plündern zuerst mehrere Projekt-Treasuries

In den vergangenen Tagen ereignete sich im Cosmos-Ökosystem eine vermeidbare „Sicherheitskatastrophe“. MANTRA, TAC, KiiChain, Nesa und andere Blockchains, die das Cosmos-EVM-Modul nutzen, wurden nacheinander angegriffen. Hacker stahlen in großen Mengen Protokoll-Reserve-Token aus den Treasury-Wallets der jeweiligen Chains und verkauften sie umgehend, wodurch Token wie KII, TAC und NES innerhalb weniger Stunden um über 90 % einbrachen und zahlreiche Inhaber schwere Verluste erlitten.

Zunächst bemerkte der Markt den gemeinsamen Nenner dieser Vorfälle nicht – dass es sich ausschließlich um Cosmos-basierte Blockchains handelte, da Hackerangriffe im Kryptomarkt längst alltäglich sind. Erst gestern wurde bekannt, dass alle Vorfälle auf den v0.7.2-Upgrade-Code zurückgehen, den Cosmos Labs am 19. August auf GitHub veröffentlicht hatte.

Auf der GitHub-Seite schrieb Cosmos Labs: „Diese Version enthält wichtige Sicherheitskorrekturen. Wir empfehlen allen Chains, so schnell wie möglich mittels koordinierter Upgrades auf diese Patch-Version zu aktualisieren. Diese Veröffentlichung ist von disruptiver Bedeutung.“ Der dringende Ton spiegelt die Schwere der Schwachstelle wider.

Das Vorgehen von Cosmos Labs ist jedoch unverständlich: Sie veröffentlichten den Sicherheitspatch vollständig öffentlich, ohne die betroffenen Projektteams, die auf das Modul angewiesen sind, privat vorzuwarnen oder ein obligatorisches Upgrade anzuordnen. Das kommt dem Aushängen des Tresorschlüssels auf einem öffentlichen Platz mit dem Hinweis „Bitte bedienen Sie sich“ gleich – Angreifer hatten ausreichend Zeit, die Schwachstelle zu analysieren und Angriffe durchzuführen.

„Wenn Angreifer GitHub lesen können, brauchen nachgelagerte Teams etwas Besseres als GitHub. Schwachstellen passieren immer. Unternehmensinfrastruktur wird danach beurteilt, was nach dem Auftreten einer Schwachstelle geschieht: Wer ist exponiert, wer wurde gewarnt, wer hat den Patch erhalten, und ob Kunden oder Angreifer zuerst handeln. Wir brauchen einen vollständigen Post-Mortem-Bericht von Cosmos Labs. Aber das lässt sich nicht beschönigen: Die Koordination ist völlig gescheitert“, erklärte Entwickler @justde.

Das angegriffene KiiChain veröffentlichte ebenfalls eine Stellungnahme, in der es Cosmos Labs direkt verantwortungsloses Verhalten vorwarf und erklärte, der Vorfall sei „vermeidbar“ gewesen.

KiiChain zufolge bündelte Cosmos Labs bei der Ankündigung am Freitag den Fix mit einer Reihe zuvor privat behandelter, nicht zusammenhängender Probleme. Die Angelegenheit wurde nicht als äußerst dringlich eingestuft, obwohl eine kritische Schwachstelle vorlag, die zu dauerhaftem Vermögensverlust führen konnte. Auch wurde nicht empfohlen, alle Chains anzuhalten.

KiiChain veröffentlichte zudem die konkrete Angriffsmethodik. Der Angriff erforderte das gleichzeitige Vorliegen dreier Upstream-Fehler im Cosmos-EVM-Modul: einen Unterlauf beim Zurückschreiben des delegierten Guthabens in die EVM während des Staking-Precompiles sowie zwei weitere, noch nicht offengelegte Schwachstellen. Der spezifische Code von KiiChain war an diesem Angriff nicht beteiligt. Alle Cosmos-EVM-Chains mit aktivierten Vesting-Konten tragen dasselbe Risiko.

Noch bedauerlicher ist, dass derartige Angriffe bis zum Abend des 24. August andauerten. Das Nesa-Projektteam veröffentlichte umgehend eine Ankündigung und ergriff Maßnahmen, um die Blockchain anzuhalten. „Wir haben auf L1 böswillige Aktivitäten festgestellt, die die Cosmos-EVM-Schwachstelle ausnutzen, und ergreifen derzeit Maßnahmen zur Eindämmung. Wir haben schnell gehandelt und werden den Dienst wieder online stellen, nachdem wir Software-Fixes und weitere Abhilfemaßnahmen angewendet haben, um einen sicheren Betrieb zu gewährleisten.“

Zu diesem Zeitpunkt war der Nesa-Token bereits um über 94 % eingebrochen – von zuvor 0,22 US-Dollar auf 0,011 US-Dollar. Nur äußerst wenige Projekte können sich von einem derartigen Absturz erholen.

Dass das Projektteam jedoch auch nach mehreren Cosmos-EVM-Sicherheitsvorfällen und mindestens zwei Tagen nach Bekanntwerden des Problems keine proaktiven Maßnahmen zur Risikovermeidung ergriff, weist weiterhin erhebliche Defizite im Risiko- und Verantwortungsbewusstsein des technischen Teams auf.

Bereits am 21. August hatte MANTRA öffentlich erklärt, die Ursache des Vorfalls identifiziert zu haben, die auf das Cosmos-EVM-Modul der MANTRA Chain beschränkt sei.

Als die Diskussionen zunahmen, kam schließlich die öffentliche Stellungnahme von Cosmos Labs: „Ein laufender Sicherheitsvorfall betrifft Nutzer des Cosmos-EVM-Moduls. Die Sicherheits- und Engineering-Teams von Cosmos Labs haben proaktiv auf diesen Vorfall reagiert. Wir haben den Cosmos-EVM-Chains, die uns kontaktiert haben, empfohlen, ihre Validatoren aufzufordern, die Chains anzuhalten.“

Doch es war zu spät – Kritik und Enttäuschung aus allen Richtungen überschwemmten die sozialen Medien. „Sie warten ein gemeinsames EVM-Modul, von dem Dutzende Chains abhängen, aber als eine kritische Precompile-Schwachstelle auftrat, veröffentlichten sie keinen Patch über die Hauptkanäle, keinen klaren Proof of Concept und keine koordinierte Deployment-Anleitung. Diese Chains sind Downstream eures Codes. Eure Aufgabe ist es, schnell Sicherheits-Patches und einsatzbereite PoCs zu veröffentlichen, damit das gesamte Ökosystem sauber upgraden kann. Stattdessen erleben wir stille Zerstörung durch Upstream, und jedes Team kämpft allein“, so Entwickler @justde.

Laut RootData liegt die Marktkapitalisierung des Cosmos-Tokens ATOM derzeit noch bei 800 Millionen US-Dollar und damit auf Platz 68 aller Token, aber über 95 % unter dem Höchststand.

Die Entwicklung des Ökosystems erlitt in den vergangenen Jahren ebenfalls wiederholt Rückschläge. Allein im letzten halben Jahr kündigten Cosmos-Ökosystem-Projekte wie Neutron, Mars Protocol, Pryzm, Leap Wallet und Cosmostation eigenständig ihre Einstellung an; Secret Network, Noble und andere Projekte gaben bekannt, das Cosmos-Ökosystem zu verlassen und entweder eine eigene Layer-1 aufzubauen oder ins Ethereum-Ökosystem zu migrieren.

Diese Serie von Diebstählen legt zweifellos erneut tiefgreifende Mängel von Cosmos bei der Sicherheitsprüfung des zugrunde liegenden Codes, bei kettenübergreifenden Koordinationsmechanismen und beim Notfallreaktionssystem offen.

Sicherheitslücken selbst mögen unvermeidlich sein, doch die absurde Logik, „einen Patch zu veröffentlichen, ohne die Downstream-Projekte zu informieren“, sowie das insgesamt amateurhafte Auftreten dürften allen Entwicklern einen Schauer über den Rücken jagen.