Cosmos Labs 正式承认，在评估 Cosmos EVM 模块中漏洞危险性时犯下了严重错误。这一失误导致了一系列针对基于该技术构建的六条区块链的协同攻击，生态系统的总损失超过 570 万美元。该事件对 Cosmos 卫星网络的安全性信任造成了严重打击。
时间线与问题规模
该问题最初于 2026 年 4 月 25 日通过漏洞赏金计划被发现。然而，经过内部测试后，开发团队得出结论，生产环境中的网络配置不受影响。这一决定是致命的：公开修复补丁发布时没有向运营商发出紧急警告。情况在 8 月初发生变化，当时独立研究人员证明该漏洞影响所有基于 Cosmos EVM 的网络。
开发人员紧急伪装了补丁，并将其纳入 8 月 19 日晚间发布的 v0.6.2 和 v0.7.2 版本中。然而，首次已知攻击在 20 小时后便已开始——这段时间显然不足以协调整个生态系统的更新。
漏洞利用的技术细节
在发布的故障分析报告中，Cosmos Labs 披露了攻击机制。攻击者利用了下溢和随后的上溢组成的复杂链条。通过专门创建的归属账户和恶意合约，黑客实现了余额的错误重算，随后从资金集中的地址提取资产。值得注意的是，在此过程中没有铸造新代币，代币总供应量保持不变。
最大损失
最大的已确认损失发生在 MANTRA 网络。区块链分析显示，从销毁地址和旧的多签钱包中提取了 7.209 亿枚 MANTRA 代币——约合 360 万美元。该网络于 2026 年 8 月 20 日停止运行，仅在 30 小时后恢复，且未进行状态回滚。MANTRA 代表保证没有任何客户账户受到影响，但此前被视为经济上不活跃的代币实际上已进入流通。
TAC 网络损失了 29.9 亿枚代币，其中约 12.1 亿枚在 BNB Chain 上以约 95 万美元的价格售出。KiiChain 损失了约 1.483 亿枚 KII：其中 6460 万枚代币以 160 万美元的价格售出，约 54.4% 的被盗资金仍留在网络中，可能在恢复后追回。Cosmos Labs 未披露其他三个受影响网络的名称。
批评与回应
MANTRA 和 KiiChain 对信息披露流程提出了严厉批评。MANTRA 表示，20 小时对于评估、测试和协调 38 个验证者之间的更新来说时间严重不足，尤其是在没有单独漏洞通知的情况下。KiiChain 指出，建议停止网络的建议是在三条区块链已被攻击后才提出的。
作为回应，Cosmos Labs 表示已与 40 个网络进行协调，并在拥有超过 115 条公共区块链的生态系统中额外发现了 11 个未注册的 Cosmos EVM 部署。
我的分析： 该事件暴露了 Cosmos 生态系统在安全方法上的系统性问题。在没有紧急通知运营商的情况下发布补丁的决定从一开始就是错误的——即使漏洞看似微不足道。对于采用分布式验证的网络来说，响应时间至关重要，在沟通上的节省导致了数百万美元的损失。整个市场都在从这类错误中吸取教训，但这一课对 Cosmos 而言代价过于高昂。