Lỗ hổng Cosmos EVM bị khai thác trên nhiều blockchain
"Cosmos Labs disclosed that a critical balance-handling flaw in the shared Cosmos EVM module was exploited to drain funds from six blockchains between August 20 and August 25, 2026. The issue, tracked as GHSA-7g4w-cg88-2cq2 and not assigned a CVE, affected versions below 0.6.2 and 0.7.0 through 0.7.1; fixes were released in v0.6.2 and v0.7.2, and operators were instructed to perform a coordinated network upgrade or halt the chain if they could not upgrade safely."
Ảnh hưởng trực tiếp đến tính toàn vẹn số dư và có thể dẫn tới rút cạn quỹ trên các mạng bị ảnh hưởng; một số chuỗi có nguy cơ dừng hoạt động nếu phát sinh lỗi supply khi khai thác.
Có thể gây mất tài sản on-chain, gián đoạn xử lý giao dịch và phát sinh chi phí cho nâng cấp đồng bộ hoặc tạm dừng mạng; các đơn vị vận hành cần ưu tiên kiểm tra mức độ phơi nhiễm.
Cosmos Labs cho biết một lỗi nghiêm trọng trong Cosmos EVM module đã bị khai thác để rút tiền từ 6 blockchain trong giai đoạn 20/08 đến 25/08/2026. Lỗi này được theo dõi là GHSA-7g4w-cg88-2cq2, hiện chưa có CVE, và ảnh hưởng đến các phiên bản < 0.6.2 và 0.7.0 đến < 0.7.2.
Theo phân tích hậu sự cố, vấn đề nằm ở cơ chế xử lý số dư giữa EVM StateDB và Cosmos SDK x/bank, đặc biệt khi tài khoản vesting có thể tạo ra trạng thái số dư không nhất quán. Kẻ tấn công có thể lợi dụng điều này để làm thay đổi số dư theo cách dẫn đến rút tiền hoặc làm cạn số dư nạn nhân.
Bản vá đã được phát hành trong v0.6.2 và v0.7.2. Do thay đổi này là state-breaking, nhà vận hành cần thực hiện coordinated network upgrade; nếu không thể nâng cấp an toàn, Cosmos Labs khuyến nghị dừng chuỗi thay vì cố gắng bỏ phiếu nâng cấp qua governance. Ngoài ra, đơn vị vận hành nên chặn các lệnh tạo vesting account không cần thiết và kiểm tra lại đường đi mã nguồn trên fork trước khi triển khai.