Cosmos Labs telah mengungkapkan bahwa penyerang mengeksploitasi kerentanan kritis Cosmos EVM di enam jaringan blockchain antara 20 dan 25 Agustus, mengubah token yang dicuri menjadi aset senilai sekitar $5,72 juta melalui bursa terdesentralisasi dan tersentralisasi.
Cosmos Labs menyatakan dalam post-mortem teknis yang diterbitkan pada hari Jumat bahwa kelemahan tersebut pertama kali dilaporkan melalui program bounty bug-nya pada 25 April, hampir empat bulan sebelum serangan dimulai. Penguji mereka tidak dapat mereproduksi eksploitasi terhadap konfigurasi yang digunakan oleh jaringan Cosmos EVM produksi yang diketahui dan pada saat itu menyimpulkan bahwa dana pengguna aktif tidak berisiko.
Berdasarkan penilaian tersebut, pengembang menangani kerentanan melalui patch publik diam-diam alih-alih mendistribusikan perbaikan keamanan secara pribadi ke rantai yang terpengaruh. Cosmos Labs menggabungkan perbaikan tersebut pada bulan Mei tanpa memberi tahu operator jaringan kerentanan mana yang diatasi.
Penilaian tersebut kemudian terbukti salah setelah peneliti independen menetapkan pada awal Agustus bahwa bug tersebut memengaruhi semua rantai Cosmos EVM. Cosmos Labs kemudian mengaburkan perbaikan untuk membuat rekayasa balik lebih sulit dan merilis versi yang di-patch pada pukul 19:01 ET pada 19 Agustus.
Catatan rilis merujuk pada perbaikan keamanan "penting" tanpa menjelaskan kerentanan tersebut. Serangan pertama yang diketahui dimulai pada pukul 15:06 ET pada 20 Agustus, sekitar 20 jam setelah perangkat lunak yang di-patch tersedia.
Kerentanan tersebut melibatkan integer underflow di Cosmos EVM, kerangka kerja ekosistem yang kompatibel dengan Ethereum yang dibangun dari basis kode Evmos open-source.
Seorang penyerang pertama-tama dapat membuat akun yang berisi token terkunci dan mendelegasikan lebih banyak token ke validator daripada yang dapat dibelanjakan akun tersebut. Mengurangi jumlah yang didelegasikan menyebabkan saldo turun di bawah nol, membuat nilai kembali ke angka maksimum yang mungkin yaitu 2^256-1 unit dasar.
Penyerang kemudian dapat menggunakan saldo yang digelembungkan terhadap akun lain. Mengirim jumlah tersebut ke target mendorong saldo yang tercatat melewati batas numerik yang sama, menyebabkan overflow yang mengembalikan nilai ke bawah dan membuat penyerang memegang token target.
Tidak ada token tambahan yang dibuat melalui proses tersebut, menurut Cosmos Labs, dan total pasokan token tetap tidak berubah secara efektif. MANTRA mengatakan eksploitasi tersebut mengubah pasokannya hanya dengan satu unit dasar, denominasi terkecil yang dapat dibagi dari token tersebut.
Cosmos Labs mengatakan penyerang menargetkan akun yang memegang saldo besar, termasuk alamat burn dan dompet multisignature yang dibuat saat jaringan diluncurkan. Sarannya mengklasifikasikan kelemahan tersebut sebagai kritis dan mengidentifikasi rilis Cosmos EVM sebelum v0.6.2 dan v0.7.2 sebagai rentan.
Insiden tersebut mengikuti pengungkapan keamanan lain yang melibatkan perangkat lunak Cosmos awal tahun ini. Crypto.news sebelumnya melaporkan bahwa seorang peneliti telah mengungkapkan kelemahan CometBFT pada bulan April yang dapat menyebabkan node macet selama sinkronisasi blok. Masalah CVSS 7.1 tidak memungkinkan pencurian aset langsung.
Setelah peneliti independen mengkonfirmasi bahwa kelemahan Cosmos EVM dapat memengaruhi rantai produksi, Cosmos Labs menyiapkan rilis keamanan yang tayang pada 19 Agustus.
Operator jaringan tidak diberi peringatan khusus kerentanan yang menjelaskan apa yang diperbaiki oleh peningkatan tersebut. MANTRA kemudian mengatakan bahwa 20 jam tidak cukup untuk menilai, membangun, menguji, dan mengoordinasikan peningkatan yang mengubah keadaan di antara 38 validator independennya.
“Dua puluh jam bukanlah jendela waktu yang realistis untuk menilai, membangun, menguji, dan mengoordinasikan peningkatan yang mengubah keadaan di antara 38 validator independen, terutama tanpa saran khusus kerentanan,” tulis MANTRA dalam post-mortem-nya.
Pengungkapan lain terjadi sebelum pencurian pertama. Pada pukul 03:16 ET pada 20 Agustus, seorang pengembang Push Chain secara publik menyerahkan perubahan kode yang menjelaskan kerentanan dan jalur eksploitasinya. Pengajuan tersebut mengakui temuan dari audit oleh perusahaan keamanan Hacken dan mencantumkan versi yang dianggap rentan.
Pengajuan tersebut mengatakan tidak ada versi yang dirilis yang berisi perbaikan, meskipun tabel versinya menghilangkan v0.6.2 dan v0.7.2, yang telah diterbitkan Cosmos Labs sekitar delapan jam sebelumnya.
Cosmos Labs menggambarkan publikasi jalur eksploitasi yang tepat oleh pengembang hilir sebagai "sangat tidak biasa" dan mengatakan pengungkapan semacam itu dapat meningkatkan risiko bahwa kerentanan akan dieksploitasi.
MANTRA menempatkan temuan keamanan publik 11 jam 45 menit sebelum penyelidikan pertama penyerang. Namun, dompet penyerang telah didanai hampir empat jam sebelum temuan tersebut diajukan.
“Kami menyatakan waktu sebagai fakta dan tidak menarik kesimpulan darinya,” kata MANTRA.
Penarikan 472,70 MANTRA dari akun pelanggan di bursa tersentralisasi mendanai biaya gas yang digunakan selama serangan, menurut jaringan.
MANTRA mengalami kerugian terbesar yang diungkapkan secara publik dari serangan tersebut, dengan 720,9 juta token MANTRA yang kemudian bernilai sekitar $3,6 juta diambil dari dua alamat.
Salah satunya adalah alamat burn jaringan. Yang kedua adalah dompet multisignature yang tidak aktif yang tersisa dari kampanye insentif sebelumnya.
Tidak ada peringatan otomatis yang dihasilkan ketika token pertama kali berpindah dari alamat burn karena sistem pemantauan MANTRA memperlakukan alamat tersebut sebagai tidak dapat dipindahkan dan tidak mengawasinya untuk transaksi keluar.
Serangan tersebut tetap tidak terdeteksi selama hampir empat jam, memberikan penyerang waktu untuk menguras dompet multisig yang tidak aktif.
MANTRA menghentikan jaringan pada pukul 19:13 ET pada 20 Agustus. Sekitar 38 juta MANTRA yang dicuri tetap beku di dompet penyerang, tetapi 94,7% dari token yang dicuri telah ditransfer ke satu alamat deposit bursa tersentralisasi melalui 15 transaksi.
Rantai tersebut tetap tidak dapat memproses transaksi selama sekitar 30 jam. Crypto.news melaporkan selama gangguan bahwa MANTRA menghentikan transaksi sementara tim teknik dan keamanan menyelidiki insiden tersebut dan bursa menangguhkan deposit dan penarikan.
Validator kemudian menerapkan perangkat lunak yang di-patch dan melanjutkan produksi blok tanpa mengembalikan rantai atau mengubah saldo pengguna. Versi 8.4.0 menyertakan perbaikan keamanan Cosmos EVM.
MANTRA telah menambahkan dukungan EVM asli ke mainnet-nya pada September 2025 bersama dengan kompatibilitas CosmWasm, memungkinkan aplikasi Solidity dan kontrak pintar asli Cosmos untuk beroperasi di jaringan.
Tidak ada token MANTRA yang dicuri yang berhasil dipulihkan hingga 28 Agustus, menurut proyek tersebut.
Pasokan yang beredar meningkat sekitar 720,9 juta token karena aset yang disimpan di akun yang sebelumnya diklasifikasikan sebagai tidak dapat dibelanjakan, termasuk alamat burn, menjadi dapat diperdagangkan setelah dipindahkan oleh penyerang.
Metode yang sama digunakan terhadap TAC pada 22 Agustus, menurut Cosmos Labs. Hampir 3 miliar TAC diambil dari staking pool jaringan.
TAC dirancang untuk membawa aplikasi keuangan terdesentralisasi kepada pengguna TON dan Telegram. Sekitar 1,2 miliar token yang dicuri dijual di BNB Chain dengan harga sekitar $950.000.
KiiChain diserang malam itu, kehilangan sekitar 148 juta KII. Sekitar 64,6 juta token dijual dengan harga sekitar $1,6 juta.
Cosmos Labs memperkirakan bahwa sekitar 54% dari KII yang dicuri tetap dapat dipulihkan di on-chain jika jaringan dipulihkan.
Dalam post-mortem teknisnya pada 23 Agustus, KiiChain mengkritik cara kerentanan tersebut dikomunikasikan ke jaringan hilir. Proyek tersebut mengatakan Cosmos Labs tidak memberikan pemberitahuan terlebih dahulu, mengidentifikasi rilis tersebut sebagai kritis keamanan, atau awalnya menyuruh rantai yang terpengaruh untuk berhenti.
“Sebuah patch membutuhkan waktu berhari-hari untuk ditinjau, dibangun, diuji, dan diluncurkan di seluruh set validator. Penghentian membutuhkan waktu beberapa menit,” tulis KiiChain. “Satu-satunya tindakan yang akan segera mengatasi risiko adalah instruksi yang jelas untuk menghentikan produksi blok, dan instruksi itu datang setelah kerusakan terjadi.”
Cosmos Labs merekomendasikan agar jaringan yang rentan berhenti pada 22 Agustus, setelah MANTRA, TAC, dan KiiChain sudah terkena dampak.
KiiChain juga membantah sebagian dari penilaian teknis, dengan mengatakan tiga cacat hulu diperlukan untuk melakukan eksploitasi dan bahwa hanya underflow yang telah di-patch secara publik.
MANTRA mencapai kesimpulan yang berbeda setelah menguji perbaikan terhadap reproduksi eksploitasi yang berfungsi. Post-mortem-nya menggambarkan perbaikan underflow sebagai “kontrol yang menutup jalur serangan ini.”
Cosmos Labs menggambarkan dua kerentanan berantai tetapi tidak membahas klaim KiiChain bahwa cacat hulu lainnya tetap belum terselesaikan.
Tiga rantai lainnya dieksploitasi dengan metode yang sama, meskipun Cosmos Labs tidak mengidentifikasinya dalam laporannya.
Nesa mungkin salah satu jaringan yang terpengaruh. Bitvavo menangguhkan deposit dan penarikan NES pada 24 Agustus, mengutip kerentanan konsensus kritis yang telah dieksploitasi untuk membuat node yang rentan menerima blok tidak valid.
Perusahaan analitik blockchain Bubblemaps mengidentifikasi Nesa sebagai salah satu rantai yang terpengaruh dalam analisis 26 Agustus. Perusahaan tersebut mengatakan seorang penyerang membeli NES senilai sekitar $250.000, menjembatnya ke Nesa, menggunakan kelemahan tersebut untuk meningkatkan saldo sekitar 200 kali lipat dan mentransfer sekitar $50 juta NES kembali ke Ethereum.
Sebagian besar upaya swap mengalami selip ekstrem karena likuiditas ditarik dari pool perdagangan, membuat penyerang hanya mendapatkan keuntungan sekitar $60.000, menurut Bubblemaps.
Dompet tersebut awalnya didanai melalui Monero. Bubblemaps mengatakan perbedaan dalam metode pendanaan dan perilaku penyerang berarti pihak terpisah mungkin bertanggung jawab atas eksploitasi Nesa.
Dua rantai yang terpengaruh lainnya belum diidentifikasi secara publik.
Cosmos Labs mengatakan mereka berkoordinasi dengan 40 jaringan selama responsnya dan bekerja dengan 13 lainnya untuk memperbaiki kerentanan atau menghentikan sebelum mereka diserang.
Perusahaan tersebut mengatakan tidak memelihara registri lengkap dari lebih dari 115 blockchain publik yang beroperasi di seluruh ekosistem Cosmos. Responsnya mengungkap 11 penerapan Cosmos EVM yang sebelumnya belum terdaftar pada tim.
Sementara itu, MANTRA sedang diakuisisi oleh pendukung yang ada, Inveniam Capital Partners, yang telah melakukan investasi strategis senilai $20 juta dalam proyek tersebut pada Agustus 2025. Transaksi ini diperkirakan akan ditutup pada kuartal ketiga tahun 2026, dengan MANTRA Chain, tokennya, dan infrastruktur terkait akan terus beroperasi di bawah kepemilikan Inveniam.
