LONDON (IT BOLTWISE) – Cosmos Labs warnt, dass ein Kritischer Fehler im Shared Cosmos-EVM-Modul zwischen dem 20. und 25. August 2026 ausgenutzt wurde. Dabei konnten Angreifer Gelder über sechs Blockchains abziehen. Laut Post-mortem reichte der Bug-Bounty-Vorgang bis zum 25. April zurück, die Wirkung wurde jedoch zunächst falsch eingeordnet. Für Betreiber gilt: auf v0.6.2 oder v0.7.2 (oder neuer) im koordinierten Upgrade umstellen oder andernfalls den Kettenbetrieb stoppen.
Cosmos Labs stellt nachträglich die zeitliche und technische Kette eines Vorfalls klar, der im Cosmos-EVM-Ökosystem gleich auf mehreren unabhängigen Netzwerken Wirkung entfaltet hat: Ein Kritischer Fehler in der Verarbeitung von Kontoständen innerhalb des gemeinsamen Cosmos-EVM-Moduls wurde zwischen 20. August und 25. August 2026 ausgenutzt. Das Unternehmen spricht dabei von sechs betroffenen Blockchains und verweist auf die Schwachstelle mit der Kennung GHSA-7g4w-cg88-2cq2. Besonders brisant ist das Zusammenspiel aus einem Shared-Modul und einer offenbar fehlerhaften Risikoeinschätzung: Cosmos Labs hatte die Problemmeldung über sein Bug-Bounty-Programm am 25. April erhalten und sie damals als nicht gefährlich für Live-Netzwerke bewertet. Erst im Verlauf späterer Verifikationen kam die Einsicht, dass alle Cosmos-EVM-Ketten betroffen waren – unabhängig von der eingesetzten Decimal-Konfiguration.
Technisch sitzt der Kern des Problems in der Brücke zwischen dem Ethereum Virtual Machine (EVM) StateDB und dem Cosmos-SDK-Modul x/bank. Der EVM StateDB hält für jeden Account primär den spendable balance vor, während im SDK vesting accounts sowohl einen spendable als auch einen locked balance verwalten. Zugleich erlaubt der Cosmos-Stack, dass der locked Anteil über x/staking sowie über einen staking precompile delegiert werden kann. Genau hier entsteht nach Labs’ Beschreibung eine Unterbedingung beim Write-back: Wenn nach einer Delegation mehr als der spendable Bestand in Anspruch genommen wird, wird die Subtraktion auf einer kleineren Zahl ausgeführt, und zwar ohne Prüfung. Das Ergebnis wrappt dann auf einen sehr großen Wert – im Effekt landet der Buchwert nahe 2^256 – und nach der anschließenden Konsistenzbereinigung (Reconciliation) kann ein positiver Delta entstehen, während ein negativer Delta reale Bestände verbrennen würde.
Die Missbrauchsmöglichkeiten folgen daraus in zwei Varianten. Zum einen kann der Angreifer aus dem gewrappten Account-„Rest“ einen endlichen Betrag herausbewegen. Zum anderen beschreibt Cosmos Labs einen zweiten Pfad: Ein Angreifer kann einen Victim-Account so ansteuern, dass während der Reconciliation ein Burn der realen Holdings erfolgt. Für die Operatoren ist außerdem entscheidend, dass Cosmos-EVM-Networks intern unterschiedlich reagieren: Unter der 0.6.x-Linie mintet und burn’t die Implementierung direkt gegen das zugrunde liegende SDK-Ledger, wodurch ein großer Mint die Supply-Logik sprengen kann und die Kette zum Stillstand bringt. Bei 0.7.x werden die Balancewerte dagegen in x/bank gesetzt und dabei über eine Umwandlung von uint256 nach int256 normalisiert; die Wirkung überlebt diese Konvertierung. Beide Komponenten – EVM und SDK – laufen dabei in einer einzigen Transaktion, und die vesting-account-Initialisierung erfolgt über einen Contract, der auf eine vorab berechnete Adresse deployt und danach in eine vesting account überführt wird.
Vor diesem technischen Hintergrund bekommt die Veröffentlichungspraxis bei Cosmos Labs eine harte wirtschaftliche Relevanz. Die Fixes wurden zwar in v0.6.2 und v0.7.2 bereits am 19. August ausgeliefert, aber das Unternehmen beschreibt auch, warum es keine klassische private Patch-Verteilung über „secure channels“ gab. Der Punkt ist: Der Patch war zuvor öffentlich auf dem Main-Branch verfügbar, und es habe zum Zeitpunkt der Neubewertung noch keine bekannte Ausnutzung gegeben. Cosmos Labs erklärt, dass das Team deshalb den „silent patch“-Prozess wählte. In der Bug-Bounty-Policy nennt das Unternehmen jedoch explizit einen anderen Handlungsmodus, wenn ein Issue eine unmittelbare oder netzwerkweite Gefahr für User Funds darstellt: Dann sollen Notfallmaßnahmen, private Fix-Verteilung oder koordinierte Upgrades passieren, bevor öffentliche Details offengelegt werden. Dass dieser Mechanismus in der Praxis nicht in dieser Weise griff, macht die Diskussion für Betreiber, Auditoren und Downstream-Entwickler besonders unangenehm.
Für Kettenbetreiber ist die Empfehlung deshalb nicht nur „upgrade“, sondern operational anspruchsvoll: Die Advisory fordert, auf v0.6.2 oder v0.7.2 (oder neuer) umzusteigen, weil die Änderung state-breaking ist und ein koordiniertes Netzwerk-Upgrade erfordert. Wer das nicht in kurzer Zeit kann, soll laut Labs den Chainbetrieb stoppen, statt über Governance eine koordiniert langsame Lösung zu versuchen. Eine rein konfigurationsseitige Eindämmung existiert demnach nicht; das Deaktivieren des staking precompile sei zwar ein Teilpfad, aber keine Ersetzung für den Patch. Auf EVM-Seite nennt die Anleitung außerdem konkrete Gegenmaßnahmen im Ante-Handler: MsgCreateVestingAccount, MsgCreatePermanentLockedAccount und MsgCreatePeriodicVestingAccount sollen abgelehnt werden, während vesting accounts aus dem Genesis unverändert bleiben. Daneben empfiehlt Labs, den Live-Codepfad auf einem Fork zu prüfen, weil ein Cherry-pick, der nur den exportierten Helper patcht, bei Forks mit duplizierten unexportierten Kopien ins Leere laufen kann.
Auch die Nachverfolgung im Ökosystem zeigt, dass das Problem nicht nur ein einzelner Patch war, sondern ein Paket an Änderungen, das Downstream-Integrationen präzise treffen musste. Labs verweist auf einen Upstream-Change mit dem Namen SubBalance underflow guard, der am 15. Mai als Pull Request #1176 merged und am 13. August zurückportiert wurde. Zwei weitere Balance-Fixes seien im selben Repository vorhanden, würden aber in der Advisory nicht beim Namen genannt: Pull Request #1187 snapshottet den locked balance so, dass die Bank-Balance nach einer precompile-Änderung korrekt rekonstruiert wird, während Commit 3524ebc das Setzen der Balance für module accounts per Guard konsequent ablehnt. Genau dieser letzte Aspekt ist wichtig, weil ein Guard gegen module accounts unconditionally EVM-Aufrufe aus solchen Contexts brechen kann – also ein bewusstes Sicherheitsversprechen mit klarer Seiteneffekt-Trade-off. Laut den Angaben im Post-mortem lernte Cosmos Labs außerdem elf Cosmos-EVM-Deployments kennen, die im Vorfallzeitraum noch nie ihre Security-Kontakte über die vorgesehenen Kanäle registriert hatten.
Markt- und Wettbewerbswirkungen ergeben sich zusätzlich aus Timing und Informationsflüssen. Cosmos Labs ordnet an, dass es die ersten privaten Hinweise am 21. August gegen 03:36 UTC per secure E-Mail verschickt hat – nachdem zuvor ein erstes Netzwerk-Reporting über eine Ausnutzung erfolgt sei. Bei den monetären Auswirkungen nennt Labs Größenordnungen, die auf Angaben der betroffenen Chains beruhen: ungefähr USD 2,87 Millionen an in betroffenen Assets verkauften Positionen über dezentrale Börsen, sowie weitere USD 2,85 Millionen an Verkäufen über zentrale Handelsplätze, die aus öffentlichen Volumendaten abgeleitet wurden. Unabhängig testierte Wirtschaftsprüfungen nennt das Unternehmen in diesem Zusammenhang nicht. Für die Branche ist zudem der strukturelle Schmerzpunkt wieder erkennbar: Das Cosmos-Ökosystem umfasst mehr als 115 bekannte öffentliche Blockchains, aber Cosmos Labs besitzt laut eigenen Angaben keine vollständige Registerbasis aller Netzwerke, die seine Software laufen lassen. Damit wird die koordinierte Reaktionsfähigkeit zum Engpass – und genau dieser Lücke waren offenbar in früheren Fällen ähnliche Konsequenzen gefolgt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Cosmos EVM: Balance-Fail in Shared-Modul führte zu Diebstählen auf sechs Ketten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Cosmos EVM: Balance-Fail in Shared-Modul führte zu Diebstählen auf sechs Ketten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Cosmos EVM: Balance-Fail in Shared-Modul führte zu Diebstählen auf sechs Ketten« bei Google Deutschland suchen, bei Bing oder Google News!