Cosmos Labs a publié le 28 août 2026 un post-mortem reconnaissant avoir mal évalué une vulnérabilité de Cosmos EVM signalée dès avril. Entre le 20 et le 25 août, des attaquants ont exploité cette faille sur six blockchains et converti environ 5,72 millions de dollars d’actifs volés.

Selon Cosmos Labs, environ 2,87 millions de dollars ont été échangés sur des DEX et environ 2,85 millions de dollars sur des plateformes centralisées. Les comptes d’exchange utilisés par les attaquants ont depuis été gelés dans le cadre des enquêtes en cours.

📖 Une faille de Cosmos EVM touche plusieurs blockchains

Une vulnérabilité signalée dès le 25 avril

Le problème avait été signalé au programme de bug bounty de Cosmos le 25 avril 2026.

Le premier rapport comportait une preuve de concept sur une configuration utilisant six décimales. Les équipes de Cosmos Labs ont ensuite essayé de reproduire l’attaque sur des réseaux utilisant 18 décimales, configuration employée par les chaînes Cosmos EVM connues en production.

Ces tests ont échoué et Cosmos Labs en a déduit, à tort, que les réseaux de production n’étaient pas exposés à un risque de perte de fonds.

Cosmos Labs reconnaît avoir mal évalué la gravité

Cette mauvaise évaluation a eu une conséquence directe sur la manière dont le correctif a été distribué.

Cosmos Labs a traité le problème selon son processus de « silent patch » public, utilisé pour les vulnérabilités considérées comme ne mettant pas directement en danger les fonds des réseaux en production.

Un premier correctif contre le sous-dépassement de balance a ainsi été intégré publiquement à la branche principale de Cosmos EVM le 15 mai, sans alerte indiquant qu’une vulnérabilité critique menaçait les utilisateurs.

Des signalements supplémentaires reçus entre mai et août ont finalement permis à l’équipe de comprendre que toutes les chaînes Cosmos EVM étaient potentiellement concernées, indépendamment du nombre de décimales utilisé.

Le correctif arrive juste avant les premières attaques

Le 19 août, Cosmos Labs a publié les versions corrigées v0.6.2 et v0.7.2 de Cosmos EVM.

Les notes de version mentionnaient des correctifs de sécurité, mais sans exposer publiquement la gravité de la vulnérabilité ni demander à toutes les chaînes de procéder immédiatement à une mise à niveau.

Le lendemain, à 7 h 16 UTC le 20 août, une pull request publique publiée dans un fork de Cosmos EVM par Push Chain décrivait précisément la vulnérabilité et son chemin d’exploitation.

La première attaque connue contre MANTRA a commencé environ douze heures plus tard, à 19 h 06 UTC.

Deux bugs combinés permettaient de vider des comptes

La vulnérabilité se trouvait dans le code partagé de Cosmos EVM, utilisé pour synchroniser l’état Ethereum avec le module bancaire du Cosmos SDK.

Le premier problème était un integer underflow. Lorsqu’un compte soumis à un calendrier de vesting déléguait davantage de tokens que son solde réellement disponible, une soustraction non contrôlée pouvait faire passer la balance sous zéro puis la faire revenir autour d’une valeur proche de 2²⁵⁶.

L’attaquant pouvait ensuite exploiter un second problème de débordement de balance. En transférant cette valeur artificiellement gigantesque vers un compte disposant déjà de nombreux tokens, le calcul pouvait aboutir à mettre le compte victime à zéro tout en créditant l’attaquant de son solde réel.

Les deux vulnérabilités pouvaient être enchaînées dans une seule transaction à l’aide d’un contrat malveillant associé à un compte de vesting, sans augmenter l’offre totale de tokens de la chaîne.

MANTRA, TAC et KiiChain parmi les réseaux attaqués

Cosmos Labs confirme que six réseaux ont été exploités au total. Son post-mortem détaille principalement les trois premières attaques : MANTRA, TAC et KiiChain.

MANTRA a subi deux attaques le 20 août avant d’interrompre sa blockchain environ quatorze minutes après la seconde. The Block indique que la perte de MANTRA s’élevait à environ 3,6 millions de dollars.

Le 22 août, TAC a ensuite été attaqué avec le même mécanisme. Environ 2,986 milliards de TAC ont été retirés du bonded_tokens_pool puis transférés vers BNB Chain.

Environ 1,2085 milliard de TAC ont ensuite été échangés contre 950 293 USDT au cours d’une série d’environ 80 transactions. Une partie importante des tokens restait encore invendue au moment du post-mortem.

KiiChain perd 148,3 millions de KII

KiiChain a également été exploitée le 22 août. Selon Cosmos Labs, environ 148,3 millions de KII ont été retirés au cours de 18 opérations utilisant la même vulnérabilité.

L’attaquant a transféré environ 67,6 millions de KII vers BNB Chain via Hyperlane. Environ 64,6 millions de KII ont ensuite été échangés contre 1,607 million d’USDT sur PancakeSwap.

Environ 80,7 millions de KII, soit 54,4 % des tokens retirés, sont cependant restés sur KiiChain et étaient considérés comme récupérables après la restauration du réseau.

Trois autres blockchains ont également été exploitées

Cosmos Labs confirme trois autres attaques utilisant la même combinaison de vulnérabilités, mais ne détaille pas leurs opérations dans la chronologie principale du rapport.

L’entreprise indique avoir coordonné sa réponse avec 40 blockchains et travaillé avec treize autres réseaux potentiellement exposés pour appliquer un correctif, interrompre leur chaîne ou prendre d’autres mesures de protection avant qu’une nouvelle exploitation ne survienne.

Environ 5,72 millions de dollars finalement convertis

Le montant global communiqué par Cosmos Labs correspond aux actifs que les attaquants ont effectivement réussi à convertir.

Environ 2,87 millions de dollars ont été transférés hors des réseaux affectés puis échangés sur des plateformes décentralisées.

Le rapport cite notamment 2 613 674,48 USDT, 114,129045 ETH, 93,78 TON, 1,393618 USDC et 98,87 OSMO. Cosmos Labs précise que ces chiffres proviennent des chaînes concernées et sont cohérents avec les données publiques, mais n’ont pas été audités indépendamment.

En parallèle, environ 2,85 millions de dollars supplémentaires auraient été déposés puis vendus sur des plateformes centralisées.

Les comptes centralisés utilisés par les attaquants ont depuis été gelés dans l’attente des investigations des autorités compétentes.

Cosmos Labs change désormais ses procédures de sécurité

Cosmos Labs reconnaît explicitement que cet incident a révélé des faiblesses dans son processus d’analyse et de diffusion des correctifs.

L’organisation annonce vouloir renforcer la manière dont elle évalue les rapports de vulnérabilité, notamment lorsque le risque réel peut dépasser le scénario décrit dans la preuve de concept initiale.

Elle prévoit également d’améliorer ses canaux de divulgation coordonnée, sa liste de contacts de sécurité et les règles déterminant quand un réseau doit être arrêté plutôt que simplement mis à niveau.

Cosmos Labs rappelle avoir versé plus de 850 000 dollars aux chercheurs en sécurité depuis janvier 2025 et corrigé des dizaines de vulnérabilités, mais reconnaît que cet incident nécessite une révision plus large de ses procédures.

🔍 DUC, mon avis

Le point le plus préoccupant n’est pas seulement la sophistication technique de l’attaque. La vulnérabilité avait été signalée près de quatre mois avant les vols.

Cosmos Labs a cru que les réseaux réellement utilisés en production n’étaient pas vulnérables et a donc choisi un correctif public silencieux plutôt qu’une diffusion urgente et privée. L’organisation reconnaît aujourd’hui que cette évaluation était incorrecte.

Le second problème est qu’une description détaillée de la faille et de son exploitation est devenue publique avant les premières attaques connues. À partir de ce moment-là, la fenêtre entre la publication du correctif et la mise à niveau effective des nombreuses blockchains Cosmos EVM est devenue extrêmement dangereuse.

Cette affaire rappelle surtout qu’un écosystème composé de nombreuses blockchains indépendantes peut rendre la gestion d’une vulnérabilité commune particulièrement complexe : corriger le code ne suffit pas si toutes les chaînes utilisant ce code ne mettent pas rapidement leur infrastructure à jour.

✍️ DUC
📌 Sources : Cosmos Labs — post-mortem officiel du 28 août 2026 — The Hacker News

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC