Penulis: Gu Yu, ChainCatcher
Selama beberapa hari terakhir, ekosistem Cosmos menyaksikan 'bencana keamanan' yang sebenarnya bisa dihindari. Blockchain seperti MANTRA, TAC, KiiChain, Nesa, yang menggunakan modul Cosmos EVM, berturut-turut diserang. Token cadangan protokol di dompet dana masing-masing rantai dicuri secara massal oleh hacker dan segera dijual, menyebabkan harga token seperti KII, TAC, NES anjlok lebih dari 90% dalam beberapa jam, mengakibatkan kerugian besar bagi banyak pemegang token.
Awalnya, pasar tidak menyadari faktor umum di balik rangkaian insiden ini — semuanya adalah blockchain berbasis Cosmos. Lagi pula, serangan hacker di pasar kripto sudah menjadi hal biasa. Namun, baru kemarin pasar menyadari bahwa rangkaian insiden ini berakar dari kode peningkatan versi v0.7.2 yang dirilis oleh Cosmos Labs di Github pada 19 Agustus.
Cosmos Labs menulis di halaman GitHub tersebut: "Versi ini berisi perbaikan keamanan penting. Kami menyarankan semua rantai untuk segera meningkatkan ke versi patch ini dengan cara koordinasi peningkatan. Rilis ini bersifat disruptif." Keketatan dalam kata-kata tersebut mencerminkan keseriusan kerentanan ini.
Namun, tindakan Cosmos Labs membingungkan: Mereka merilis patch keamanan sepenuhnya terbuka, tetapi tidak secara bersamaan mengirimkan peringatan pribadi atau pemberitahuan peningkatan wajib kepada tim proyek yang bergantung pada modul tersebut. Ini setara dengan menggantung kunci brankas di alun-alun publik dan menandainya dengan 'Silakan cepat ambil', memberikan waktu yang cukup bagi pihak dengan niat jahat untuk meneliti dan melancarkan serangan.
"Jika penyerang bisa membaca GitHub, tim hilir membutuhkan sesuatu yang lebih baik daripada GitHub. Kerentanan akan selalu terjadi. Infrastruktur perusahaan dinilai dari semua hal yang terjadi setelah kerentanan muncul: siapa yang terekspos, siapa yang mendapat peringatan, siapa yang mendapat patch, dan apakah pelanggan atau penyerang yang bertindak lebih dulu. Kami membutuhkan laporan analisis pasca insiden lengkap dari Cosmos Labs. Tapi ini tak bisa dihias: Kegagalan koordinasi sangat parah." kata pengembang @justde.
KiiChain yang diserang juga secara langsung menuduh Cosmos Labs atas kinerja yang tidak bertanggung jawab dan menyatakan insiden ini "bisa dihindari".
KiiChain menyatakan bahwa ketika Cosmos Labs merilis pengumuman pada hari Jumat, mereka menggabungkan perbaikan dengan sejumlah masalah tidak terkait yang sebelumnya ditangani secara pribadi. Saat itu, hal ini tidak disebutkan sebagai masalah yang sangat mendesak, seperti layaknya kerentanan serius yang dapat menyebabkan kerugian dana permanen. Mereka juga tidak menyarankan untuk menghentikan sementara semua rantai.
KiiChain juga memaparkan prinsip serangan spesifik dari kerentanan ini. Serangan ini memerlukan munculnya tiga cacat upstream di modul Cosmos EVM secara bersamaan untuk berhasil: underflow saat menulis kembali saldo setelah delegasi ke EVM saat precompile staking, serta dua kerentanan lainnya yang belum diungkap. Kode spesifik KiiChain tidak terlibat dalam serangan ini. Semua rantai Cosmos EVM yang mengaktifkan akun vesting memiliki risiko yang sama.
Yang lebih menyedihkan, serangan semacam ini masih berlangsung hingga malam tanggal 24. Tim proyek Nesa segera merilis pengumuman dan mengambil tindakan untuk menghentikan blockchain. "Kami telah mendeteksi aktivitas berbahaya yang mengeksploitasi kerentanan Cosmos EVM di L1 dan saat ini sedang mengambil langkah untuk membatasi dampaknya. Kami telah bertindak cepat dan akan mengembalikan layanan setelah perbaikan perangkat lunak diterapkan dan tindakan perbaikan lebih lanjut diambil untuk memastikan operasi yang aman."
Saat itu, token Nesa telah anjlok lebih dari 94%, dari sebelumnya $0,22 menjadi $0,011. Sangat sedikit proyek yang bisa pulih dari penurunan tajam seperti ini.
Namun, fakta bahwa pihak proyek tidak mengambil langkah aktif untuk menghindari risiko setelah beberapa insiden keamanan Cosmos EVM terjadi dan masalah diungkap setidaknya 2 hari sebelumnya, tetap menunjukkan kesadaran akan risiko dan tanggung jawab yang sangat kurang dari tim teknis proyek tersebut.
Paling awal pada tanggal 21, MANTRA telah secara terbuka menyatakan telah mengidentifikasi akar penyebab insiden, yang terbatas pada modul Cosmos EVM di MANTRA Chain.
Seiring dengan semakin banyaknya diskusi yang berkembang, pernyataan tanggapan terbuka Cosmos Labs terlambat datang, "Insiden keamanan yang sedang berlangsung telah memengaruhi pengguna modul Cosmos EVM. Tim keamanan dan teknik Cosmos Labs telah secara proaktif menangani insiden ini. Kami telah menyarankan rantai Cosmos EVM yang menghubungi kami untuk meminta validator menghentikan rantai mereka sementara."
Namun, sudah terlambat. Kritik dan kekecewaan dari berbagai pihak memenuhi media sosial. "Mereka memelihara modul EVM bersama yang diandalkan oleh puluhan rantai, tetapi ketika kerentanan kritis pada precompile muncul, tidak ada rilis patch aktif ke saluran utama, tidak ada PoC yang jelas, dan tidak ada panduan penyebaran yang terkoordinasi. Rantai-rantai ini adalah hilir dari kode kalian. Tugas kalian adalah merilis patch keamanan dengan cepat + PoC siap pakai agar seluruh ekosistem dapat meningkatkan dengan bersih. Sebaliknya, yang kami dapatkan adalah kerusakan diam-diam dari hulu, setiap tim berjuang sendiri." kata pengembang @justde.
Saat ini, kapitalisasi pasar token Cosmos ATOM masih bernilai $8 miliar, menempati peringkat ke-68 di antara semua token, tetapi turun lebih dari 95% dibandingkan dengan puncaknya.
Perkembangan ekosistemnya juga terus terpukul selama beberapa tahun terakhir. Hanya dalam setengah tahun terakhir, proyek-proyek ekosistem Cosmos seperti Neutron, Mars Protocol, Pryzm, Leap Wallet, Cosmostation mengumumkan penghentian operasi. Proyek-proyek seperti Secret Network, Noble mengumumkan meninggalkan ekosistem Cosmos, memilih untuk membangun Layer1 sendiri atau bermigrasi ke ekosistem Ethereum.
Kasus pencurian beruntun ini, sekali lagi memperbesar kekurangan mendalam Cosmos dalam audit keamanan kode dasar, mekanisme koordinasi lintas rantai, dan sistem respons darurat.
Kerentanan keamanan itu sendiri mungkin tak terhindarkan, tetapi logika konyol "merilis patch terbuka tanpa memberi tahu hilir", serta berbagai penampilan 'tim amatiran', cukup membuat semua pembangun merasa ngeri.
