Perusahaan Cosmos Labs mengakui bahwa mereka keliru menganggap kerentanan dalam modul Cosmos EVM tidak cukup berbahaya. Akibatnya, bug tersebut digunakan untuk menyerang enam jaringan blockchain, dengan total kerugian mencapai $5,7 juta.
Antara 20 Agustus dan 25 Agustus, penyerang mengeksploitasi kerentanan dalam Cosmos EVM untuk menarik dana dari beberapa blockchain berbasis Cosmos. Kami berkomitmen untuk memperkuat sistem dan proses yang kami andalkan untuk keamanan dan berterima kasih atas kolaborasi dari...
— Cosmos Labs (@cosmoslabs_io) 28 Agustus 2026
Masalah ini dilaporkan pada 25 April 2026 melalui program bug bounty. Setelah pengujian, tim memutuskan bahwa jaringan dengan konfigurasi produksi tidak berisiko, dan merilis perbaikan publik tanpa pemberitahuan terpisah kepada operator. Awal Agustus, peneliti independen menunjukkan bahwa kerentanan tersebut mempengaruhi semua jaringan di Cosmos EVM. Setelah itu, pengembang menyamarkan patch, memindahkannya ke rilis v0.6.2 dan v0.7.2, dan menerbitkannya pada malam 19 Agustus. Serangan pertama yang diketahui dimulai sekitar 20 jam kemudian.
Dalam post-mortem, Cosmos Labs menggambarkan serangan tersebut sebagai rantai underflow dan overflow berikutnya. Melalui akun vesting yang disiapkan khusus dan kontrak jahat, penyerang berhasil menghitung ulang saldo secara tidak benar, kemudian mentransfer dana dari alamat dengan saldo besar. Perusahaan menyatakan bahwa tidak ada token baru yang dibuat dan total pasokan tidak berubah.
Kerugian terbesar yang dikonfirmasi terjadi pada MANTRA. Menurut analisis jaringan, 720,9 juta MANTRA — senilai sekitar $3,6 juta — ditarik dari alamat pembakaran dan dompet multisig lama. Jaringan dihentikan pada 20 Agustus 2026 dan dilanjutkan kembali lebih dari 30 jam kemudian tanpa memutar kembali keadaan. MANTRA menyatakan bahwa tidak ada akun klien yang terpengaruh, tetapi token yang sebelumnya dianggap tidak aktif secara ekonomi secara efektif masuk ke dalam sirkulasi.
Cosmos Labs memperkirakan kerugian TAC sebesar 2,99 miliar TAC. Dari jumlah tersebut, sekitar 1,21 miliar token dijual di BNB Chain dengan harga sekitar $950.000.
KiiChain kehilangan ~148,3 juta KII. Menurut perkiraan perusahaan, 64,6 juta token dijual dengan harga sekitar $1,6 juta, dan sekitar 54,4% dari yang dicuri masih berada di jaringan dan dapat dikembalikan setelah pemulihan.
Tiga jaringan lain yang terdampak tidak disebutkan oleh Cosmos Labs.
MANTRA dan KiiChain mengkritik proses pengungkapan masalah. Tim dari jaringan pertama menyatakan bahwa 20 jam tidak cukup untuk mengevaluasi, mengumpulkan, menguji, dan mengoordinasikan pembaruan di antara 38 validator tanpa pemberitahuan terpisah tentang kerentanan. KiiChain mencatat bahwa rekomendasi untuk menghentikan jaringan muncul setelah serangan terhadap tiga blockchain.
Sebagai tanggapan, Cosmos Labs menyatakan bahwa mereka berkoordinasi dengan 40 jaringan dan secara terpisah mengidentifikasi 11 deployment Cosmos EVM yang tidak terdaftar di ekosistem yang terdiri dari lebih dari 115 blockchain publik.
Apa itu Cosmos ($ATOM)?
Mengingat kembali, dari Januari 2025 hingga Juli 2026, platform kripto kehilangan $3,63 miliar dalam 245 insiden yang terdokumentasi, menurut data CoinGecko.
end-content
