Công ty Cosmos Labs thừa nhận đã sai lầm khi đánh giá thấp mức độ nghiêm trọng của lỗ hổng trong mô-đun Cosmos EVM. Kết quả là lỗi này đã bị lợi dụng để tấn công sáu blockchain, với tổng thiệt hại lên tới 5,7 triệu USD.
Trong khoảng thời gian từ ngày 20 đến 25 tháng 8, những kẻ tấn công đã khai thác một lỗ hổng trong Cosmos EVM để rút tiền từ nhiều blockchain dựa trên Cosmos. Chúng tôi cam kết tăng cường các hệ thống và quy trình mà chúng tôi dựa vào để đảm bảo an ninh và cảm ơn sự hợp tác của...
— Cosmos Labs (@cosmoslabs_io) ngày 28 tháng 8 năm 2026
Vấn đề được báo cáo vào ngày 25 tháng 4 năm 2026 thông qua chương trình bug bounty. Sau khi thử nghiệm, nhóm kết luận rằng các mạng có cấu hình sản xuất không gặp rủi ro và đã phát hành bản sửa lỗi công khai mà không có cảnh báo riêng cho các nhà điều hành. Đầu tháng 8, các nhà nghiên cứu độc lập chỉ ra rằng lỗ hổng ảnh hưởng đến tất cả các mạng trên Cosmos EVM. Sau đó, các nhà phát triển đã che giấu bản vá, chuyển nó sang các bản phát hành v0.6.2 và v0.7.2 và công bố chúng vào tối ngày 19 tháng 8. Cuộc tấn công đầu tiên được biết đến bắt đầu khoảng 20 giờ sau đó.
Trong bài phân tích hậu sự kiện, Cosmos Labs mô tả cuộc tấn công là một chuỗi sự kiện underflow và overflow tiếp theo. Thông qua một tài khoản vesting được chuẩn bị đặc biệt và một hợp đồng độc hại, kẻ tấn công đã đạt được việc tính toán lại số dư không chính xác, sau đó chuyển tiền từ các địa chỉ có số dư lớn. Công ty khẳng định rằng không có token mới nào được tạo ra và tổng nguồn cung không thay đổi.
Thiệt hại được xác nhận lớn nhất rơi vào MANTRA. Theo phân tích mạng, 720,9 triệu MANTRA — trị giá khoảng 3,6 triệu USD — đã bị rút từ địa chỉ đốt và ví đa chữ ký cũ. Mạng này đã bị dừng vào ngày 20 tháng 8 năm 2026 và hoạt động trở lại sau hơn 30 giờ mà không khôi phục trạng thái trước đó. MANTRA tuyên bố không có tài khoản khách hàng nào bị ảnh hưởng, nhưng trên thực tế, các token trước đây được coi là không hoạt động về mặt kinh tế đã lưu thông.
Cosmos Labs ước tính thiệt hại của TAC là 2,99 tỷ TAC. Trong đó, khoảng 1,21 tỷ token đã được bán trên BNB Chain với giá khoảng 950.000 USD.
KiiChain mất khoảng 148,3 triệu KII. Theo ước tính của công ty, 64,6 triệu token đã được bán với giá khoảng 1,6 triệu USD, và khoảng 54,4% số tiền bị đánh cắp vẫn còn trong mạng và có thể được hoàn trả sau khi khôi phục.
Cosmos Labs không tiết lộ tên của ba mạng bị ảnh hưởng còn lại.
MANTRA và KiiChain đã chỉ trích quy trình tiết lộ vấn đề. Nhóm điều hành mạng đầu tiên tuyên bố rằng 20 giờ là không đủ để đánh giá, thu thập, thử nghiệm và phối hợp cập nhật giữa 38 trình xác thực mà không có thông báo riêng về lỗ hổng. KiiChain lưu ý rằng khuyến nghị dừng mạng chỉ được đưa ra sau khi ba blockchain đã bị tấn công.
Để đáp lại, Cosmos Labs thông báo rằng họ đã phối hợp với 40 mạng và riêng biệt đã xác định được 11 triển khai Cosmos EVM chưa đăng ký trong hệ sinh thái với hơn 115 blockchain công khai.
Cosmos là gì ($ATOM)?
Nhắc lại, từ tháng 1 năm 2025 đến tháng 7 năm 2026, các nền tảng tiền mã hóa đã mất 3,63 tỷ USD trong 245 sự cố được ghi nhận, theo dữ liệu từ CoinGecko.
