Aanvallers halen $5,7 miljoen uit zes blockchains
Fout was in april al gemeld
Dossier: DeFi-exploits
Aanvallers hebben tussen 20 en 25 augustus 2026 zes blockchains leeggehaald en daarbij circa $5,7 miljoen buitgemaakt.
De getroffen netwerken gebruikten dezelfde software, Cosmos EVM, waarmee programma's voor ethereum ook op andere blockchains kunnen draaien. Die software hield twee registraties van hetzelfde saldo bij. Onder bepaalde omstandigheden kon één registratie door een rekenfout een onwerkelijk hoog bedrag tonen, waarna een aanvaller echte munten uit een ander account kon halen. Er kwamen geen nieuwe munten bij: bestaande tegoeden werden weggesluisd.
Cosmos Labs bevestigt dat zes netwerken zijn geraakt, maar noemt alleen MANTRA, TAC en KiiChain. MANTRA verloor circa 720,9 miljoen eigen munten, destijds circa $3,6 miljoen waard. Bij TAC ging circa 3 miljard munten verloren, bij KiiChain circa 148,3 miljoen. De namen en de schade van de drie andere netwerken zijn niet openbaar gemaakt.
Over alle zes netwerken werd volgens Cosmos Labs voor circa $2,87 miljoen verkocht via geautomatiseerde handelsplatforms. Verkoop via centrale cryptobeurzen wordt op basis van openbaar handelsvolume geschat op nog eens $2,85 miljoen. De beursaccounts die daarbij zijn gebruikt, waren bij publicatie bevroren in afwachting van onderzoek door autoriteiten; dat betekent niet dat het geld al is teruggevonden.
Reparatie kwam vier maanden na de melding
Een beveiligingsonderzoeker meldde de fout op 25 april. Cosmos Labs kon het probleem bij munten met achttien cijfers achter de komma niet herhalen en concludeerde daardoor ten onrechte dat bekende productienetwerken geen fondsrisico liepen. Een bescherming kwam op 15 mei in de hoofdversie van de software, maar pas op 19 augustus verschenen gerepareerde versies voor bestaande netwerken. De toelichting daarbij sprak alleen over belangrijke beveiligingsoplossingen.
Een openbaar wijzigingsvoorstel beschreef het gevaar de volgende ochtend wél. Minder dan twaalf uur later volgde de eerste aanval, op MANTRA.
Cosmos Labs benaderde veertig netwerken; dertien andere mogelijk kwetsbare ketens namen maatregelen zonder verdere incidenten. Of één of meer aanvallers achter alle zes incidenten zaten, is niet bekend. De fout zat niet in IBC, de verbinding tussen blockchains, en ook niet in Cosmos Hub.