Deux arrêts de blockchain en quelques jours, mais deux attaques différentes. Alors que Cronos a suspendu son réseau après une manipulation du prix du TONIC sur le protocole Tectonic, Cosmos Labs publie le bilan d’une autre offensive ayant touché six blockchains entre le 20 et le 25 août. Cette fois, aucune manipulation de marché : les attaquants ont exploité une faille critique dans Cosmos EVM, le logiciel partagé permettant aux réseaux de l’écosystème Cosmos d’exécuter des applications compatibles avec Ethereum. L’incident aurait permis de convertir environ 5,7 millions de dollars d’actifs volés. Mais l’affaire met surtout en cause la gestion de la vulnérabilité, signalée plusieurs mois avant les premières attaques.
- Une faille inquiétante a été signalée dès avril dans le système Cosmos, permettant à un attaquant de manipuler des soldes pour transférer des jetons existants vers son portefeuille.
- Six blockchains, dont MANTRA, ont été victimes de cette vulnérabilité, entraînant un préjudice de plusieurs millions de dollars et une controverse sur la gestion de la crise par Cosmos Labs.
Une faille signalée aux équipes de Cosmos dès le mois d’avril
La vulnérabilité provenait d’une incohérence entre Cosmos EVM et le module chargé de comptabiliser les soldes dans Cosmos SDK. En combinant deux erreurs dans une même transaction, l’attaquant pouvait provoquer un sous-flux numérique : lorsqu’un solde descendait sous zéro, sa valeur revenait artificiellement au maximum autorisé par le système.
Cette somme fictive servait ensuite à vider une autre adresse détenant de véritables jetons, notamment une adresse de destruction ou un ancien portefeuille multisignature. Aucun jeton n’était directement créé au terme de l’opération : les actifs existants étaient transférés vers le portefeuille de l’attaquant.
La faille avait pourtant été signalée au programme de récompense de Cosmos le 25 avril. Les équipes n’étaient pas parvenues à reproduire l’attaque sur les configurations utilisées en production et avaient conclu que les fonds n’étaient pas menacés. Un correctif avait alors été intégré discrètement, sans alerte critique destinée aux opérateurs.
De nouvelles analyses ont révélé début août que l’ensemble des réseaux Cosmos EVM étaient potentiellement vulnérables. Les versions corrigées 0.6.2 et 0.7.2 ont été publiées le 19 août, seulement vingt heures avant la première attaque connue.
Six blockchains touchées par cette vulnérabilité
MANTRA a été la première victime identifiée. Environ 720,9 millions de jetons, alors valorisés à 3,6 millions de dollars, ont été prélevés sur une adresse de destruction et un ancien portefeuille multisignature. Le réseau a été arrêté près de quatre heures après la première transaction, puis relancé sans revenir sur l’historique de la blockchain.
TAC et KiiChain ont ensuite subi des attaques similaires. Cosmos Labs évoque six réseaux touchés au total, mais deux d’entre eux n’ont pas été nommés. Nesa pourrait également figurer parmi les victimes, sans confirmation officielle. Les fonds convertis atteindraient environ 2,87 millions de dollars sur des plateformes décentralisées et 2,85 millions sur des plateformes centralisées. Les comptes utilisés sur ces dernières auraient depuis été gelés.
La polémique porte désormais sur la réaction de Cosmos Labs. KiiChain reproche notamment au développeur d’avoir recommandé l’arrêt des réseaux seulement après plusieurs attaques, alors qu’une suspension pouvait être exécutée plus rapidement qu’une mise à jour coordonnée. Cosmos Labs reconnaît des « erreurs d’évaluation » et promet de « revoir ses procédures de traitement et de divulgation des vulnérabilités critiques ».
Contrairement à l’incident Tectonic, cette attaque ne visait donc pas un protocole isolé, mais une brique logicielle commune à plusieurs blockchains. Une différence qui transforme une faille locale en risque potentiel pour tout un écosystème. Mauvaise semaine pour l’écosystème Cosmos.
L’article Crypto : Une faille connue frappe 6 blockchains Cosmos est apparu en premier sur Journal du Coin.
