Одна дыра Cosmos EVM уронила третью сеть

Уязвимость в модуле Cosmos EVM описана в бюллетене безопасности ASA-2026-002 и публично закрыта патчем ещё в марте. С тех пор она успела уронить три сети. В январе на ней потеряла около 7 миллионов долларов Saga, двадцатого августа встала MANTRA, двадцать второго — TAC. По нашей прямой проверке TAC не выпускает блоки до сих пор: почти пятьдесят часов на одном и том же блоке.

Коротко: в чём дефект

Ошибка в прекомпиле ICS20: при вложенном исполнении в виртуальной машине состояние обрабатывалось неверно, и один и тот же баланс токена можно было использовать в рамках одной транзакции повторно.

Патч выпущен в марте. Разработчики Cosmos связались с пятнадцатью сетями, чтобы согласовать обновление, — MANTRA была среди них.

Первым пострадал Saga: около 7 миллионов долларов в январе, ещё до публикации исправления.

Три сети, один дефект

У MANTRA пострадали два кошелька самой команды, балансы пользователей не задеты, откат цепочки не потребовался. Токен при этом упал примерно на 18% до исторического минимума при росте оборота почти на 600%.

Почему виноват не баг, а расстояние до обновления

Вот наблюдение, ради которого стоит посмотреть на календарь, а не на код. Дефект нашли. Описали в бюллетене. Закрыли патчем. Обзвонили пятнадцать команд поимённо. Всё, что полагается сделать по учебнику безопасности, сделано — и через пять месяцев он валит очередную сеть.

Причина в устройстве самих сетей. Приложение обновляют одной командой; сеть обновляют согласованным перезапуском валидаторов, каждый из которых обновляется по собственному графику. Между «патч существует» и «патч применён» лежит организационная работа, и её длительность каждая команда определяет сама.

Значит, для приложенческих цепочек публикация исправления — это не конец истории, а её начало. Разница между MANTRA и TAC это подтверждает: у первой был готовый билд, она собрала валидаторов и вернулась за тридцать часов; вторая идёт пятидесятый час. Дефект у обеих один и тот же, различается операционная готовность.

Патч, который вышел, но не установлен, защищает ровно никого. А бюллетень безопасности сообщает атакующему, что именно искать.

Что известно про TAC на сейчас

Мы проверили сеть напрямую: и обозреватель, и публичный RPC-узел отдают блок 24 671 475 с отметкой 23:58 UTC двадцать второго августа. Простой — 49 часов 42 минуты на момент замера.

Команда сообщала, что уязвимость затронула предложение собственного токена, и остановила выпуск блоков вместе с валидаторами. Вчера мы разбирали, что сеть встала и молчит третьи сутки: ни объёма несанкционированной эмиссии, ни ущерба, ни сроков возобновления названо не было. За сутки это не изменилось.

Отдельные публикации называют цифру ущерба, но подтверждения ей нет: источники пишут, что команда сумму не раскрывала, а фигурирующие 7 миллионов относятся к январскому случаю с Saga. Поэтому цифры по TAC здесь нет.

Как это выглядело у соседей

Сценарий MANTRA описан подробно: сначала сеть встала без объяснения причин, затем перезапустилась после 30 часов простоя с названной причиной и версией исправления.

Тема поиска дыр в коде сейчас звучит громко и с другой стороны: мы писали, что ИИ-аудит кода биткоина нашёл 85 критических дыр. Находки бесполезны без установки исправлений — тот же разрыв мы разбирали, когда обновление Coldcard не спасало старый кошелёк.

Чего в источниках нет

Не раскрыт ущерб TAC: ни объём несанкционированной эмиссии, ни долларовая оценка, ни транзакция эксплойта.

Не названы и остальные из пятнадцати оповещённых сетей — известно лишь, что MANTRA была среди них.

Не сообщается, сколько сетей на сегодня остаются необновлёнными и есть ли у Cosmos Labs такой учёт.

Источники

Материал подготовлен на основе публикации TechTimes о происхождении дефекта, сообщения Blockonomi о перезапуске MANTRA и разбора CryptoSlate по остановке TAC. Состояние сети TAC проверено нами через её обозреватель и публичный RPC-узел.