Naar de inhoud
cryptocrime.nl
Dossier

De Cosmos EVM-balanskwetsbaarheid

Waar dit over gaat

Dit dossier volgt de balans-underflow/overflow in Cosmos EVM met advisorynummer GHSA-7g4w-cg88-2cq2. De kwetsbaarheid werd in april 2026 gemeld, maar het productiegevaar werd aanvankelijk verkeerd ingeschat en veilige releases verschenen pas op 19 augustus. Tussen 20 en 25 augustus benutten onbekende actoren de fout op zes netwerken. Cosmos Labs noemt alleen MANTRA, TAC en KiiChain bij naam.

Stand van zaken

Cosmos Labs becijfert de gerealiseerde DEX-verkoop en geschatte CEX-verkoop samen op circa $5,72 miljoen. De volledige lijst van zes getroffen ketens, de transacties en schade van de drie naamloos gebleven ketens en een sluitende schadeverdeling per keten zijn onbekend. Ook is onbekend of één of meerdere actoren handelden en hoeveel per keten uiteindelijk is teruggewonnen. Bevroren beursaccounts bewijzen geen identiteit en betekenen niet dat recovery is voltooid.

Kerncijfers
Cumulatieve schade onbekend
Gerealiseerde en geschatte verkoop circa $5,72 miljoen
Getroffen netwerken 6, waarvan 3 niet bij naam genoemd
Exploitvenster 20–25 augustus 2026
Volledige recovery onbekend
Zaakfeiten
StatusLopend
Artikelen1
Schadeonbekend
Geopend2026-08-29

Tijdlijn

  1. 2026-04-25Ashmit Sharma meldt via het Cosmos-bugbountyprogramma een Cosmos EVM-balanskwetsbaarheid; Cosmos Labs schat productiegevaar aanvankelijk verkeerd in. bron
  2. 2026-05-15De SubBalance-underflowguard wordt via PR #1176 naar de main-branch van cosmos/evm gemerged. bron
  3. 2026-08-19Cosmos EVM v0.6.2 en v0.7.2 verschijnen met de state-breaking beveiligingsfix. bron
  4. 2026-08-20MANTRA wordt tweemaal geëxploiteerd en stopt op blok 17.449.398. bron
  5. 2026-08-22TAC verliest circa 2,986 miljard TAC en KiiChain 148,327 miljoen KII via dezelfde kwetsbaarheidsketen; beide netwerken stoppen. bron
  6. 2026-08-25Het door Cosmos Labs vastgestelde exploitvenster eindigt; in totaal zijn zes netwerken geraakt, waarvan drie niet bij naam worden genoemd. bron
  7. 2026-08-28Cosmos Labs publiceert de post-mortem en becijfert gerealiseerde DEX- en geschatte CEX-verkoop samen op circa $5,72 miljoen. bron

Artikelen in dit dossier