أعلنت شركة Cosmos Labs عن وجود ثغرة حرجة في وحدة Cosmos EVM المشتركة، تم استغلالها بين 20 و25 أغسطس 2026 لسحب أموال من ست شبكات بلوكشين. الثغرة، المصنفة “حرجة”، لم تُمنح معرف CVE رسميًا أو تصنيفًا وفق معايير CVSS، لكنها تتعلق بخلل في معالجة الأرصدة عند التوفيق بين حالة EVM StateDB ووحدة x/bank في Cosmos SDK. الإصدارات المتأثرة هي أقل من 0.6.2، وبين 0.7.0 و0.7.2، بينما تم إصدار الإصلاح في النسختين 0.6.2 و0.7.2 بتاريخ 19 أغسطس.
خلفية الاكتشاف وإدارة التصحيح
الثغرة أُبلغ عنها لأول مرة عبر برنامج مكافآت الثغرات في 25 أبريل 2026، لكن الفريق اعتبرها حينها غير مؤثرة على الشبكات الحية. لاحقًا، في 13 أغسطس، تأكد أن جميع شبكات Cosmos EVM معرضة بغض النظر عن إعدادات الأرقام العشرية. رغم ذلك، تم تمرير الإصلاح عبر عملية “تصحيح صامت” دون تنبيه خاص للشبكات المتأثرة، وهو ما يتعارض مع سياسة الشركة التي تنص على توزيع خاص وسري للتصحيحات عند وجود تهديد مباشر للأموال.
آلية الاستغلال
الثغرة تكمن في حساب الأرصدة عند قيام حسابات vesting بتفويض أكثر من رصيدها القابل للإنفاق. عملية الطرح غير المؤمنة تؤدي إلى التفاف الرصيد إلى قيمة ضخمة تقارب 2256. هذا يسمح للمهاجم إما بسحب أموال من الحساب الملفوف أو إرسال قيمة ضخمة لحساب ضحية بحيث يتم حرق رصيده الحقيقي.
- في سلاسل 0.6.x يؤدي ذلك إلى تضخم العرض وإيقاف السلسلة.
- في سلاسل 0.7.x يتم قبول التغييرات مباشرة في وحدة x/bank، ما يسمح بنقل الأرصدة بشكل غير مشروع.
الهجوم يتطلب أن تسمح السلسلة بإنشاء حسابات vesting دون قيود، وهو ما وفر للمهاجمين مدخلًا مباشرًا.
نتائج الهجوم وردود الفعل
تم استغلال الثغرة أولًا ضد شبكة MANTRA في 20 أغسطس، ثم امتد إلى خمس شبكات أخرى. تشير التقديرات إلى أن المهاجمين باعوا أصولًا بقيمة 2.87 مليون دولار في منصات تداول لامركزية، إضافة إلى 2.85 مليون دولار في منصات مركزية. من بين الإجراءات التي اتخذتها بعض الشبكات:
- ZetaChain دمجت جميع التصحيحات الثلاثة لكنها اكتشفت أن التصحيح الجزئي ترك المسار الحي غير محمي.
- Warden Protocol أغلقت إمكانية إنشاء حسابات vesting بالكامل لتفادي الاستغلال.
- Push Chain نشرت علنًا تفاصيل الثغرة ومسار الاستغلال بعد ساعات من صدور الإصلاح.
توصيات للمشغلين
ينصح مشغلو شبكات Cosmos EVM باتباع الخطوات التالية:
- الترقية إلى الإصدار 0.6.2 أو 0.7.2 أو أحدث عبر ترقية منسقة للشبكة.
- إيقاف السلسلة مؤقتًا إذا تعذر الترقية الفورية بدلًا من محاولة تصويت حوكمي.
- إغلاق المسارات المسبقة عبر رفض رسائل إنشاء حسابات vesting جديدة.
- تسجيل جهة اتصال أمنية مع Cosmos Labs لتلقي التنبيهات المستقبلية.
- التحقق من المسار الحي عبر fork لتفادي التصحيحات الجزئية غير الكاملة.
هذه الحادثة تكشف عن فجوة خطيرة في إدارة الثغرات داخل منظومة Cosmos، وتؤكد أن سياسات “التصحيح الصامت” قد تؤدي إلى خسائر مالية واسعة إذا لم تُطبق معايير الإفصاح الآمن بشكل صارم.
