En bref

  • 5,72 millions de dollars drainés sur 6 blockchains Cosmos EVM entre le 20 et le 25 août 2026
  • La vulnérabilité GHSA-7g4w-cg88-2cq2 (integer underflow dans le module Cosmos EVM) était connue depuis le 25 avril 2026
  • Cosmos Labs avait sous-estimé le risque et procédé à un patch silencieux non coordonné

Les faits

Entre le 20 et le 25 août 2026, un attaquant a exploité une faille d'integer underflow dans le module EVM partagé de l'écosystème Cosmos pour drainer l'équivalent de 5,72 millions de dollars répartis sur six blockchains distinctes. L'incident a été rendu public par Cosmos Labs le 28 août 2026, avec une révélation troublante : la vulnérabilité était connue des équipes depuis le 25 avril 2026 — quatre mois avant l'exploitation.

La faille, référencée GHSA-7g4w-cg88-2cq2 et notée Critique par Cosmos Labs, réside dans le mécanisme de gestion des soldes du module Cosmos EVM — un composant open-source partagé entre de nombreuses blockchains de l'écosystème. L'attaquant a exploité un bug d'integer underflow pour tromper les réseaux Cosmos EVM : en manipulant les valeurs de solde, il est parvenu à créditer ses propres wallets d'un nombre effectivement illimité de tokens natifs sur chaque chaîne ciblée.

La chronologie de l'incident révèle une chaîne de décisions malheureuses. Le 25 avril 2026, un chercheur en sécurité a soumis la vulnérabilité via le programme de bug bounty de Cosmos Labs. Les ingénieurs ont analysé le rapport et procédé à des tests de reproduction. Ne parvenant pas à reproduire l'attaque dans les conditions de configuration utilisées par les chaînes Cosmos en production, ils ont conclu — à tort — que les fonds sur ces réseaux n'étaient pas exposés.

Cette conclusion erronée a entraîné une décision lourde de conséquences : la vulnérabilité a été traitée comme une mise à jour de routine et livrée via le processus de patch public silencieux de Cosmos Labs, plutôt que via le canal de distribution privé réservé aux vulnérabilités jugées à risque immédiat pour les fonds des utilisateurs. Les versions affectées couvraient les releases inférieures à 0.6.2 et comprises entre 0.7.0 et 0.7.2. Les correctifs ont été publiés dans les versions v0.6.2 et v0.7.2 le 19 août 2026.

Une mise à jour silencieuse et non urgentée n'incite pas les opérateurs de blockchain à procéder à une mise à niveau coordonnée en urgence. Dans l'écosystème Cosmos, passer à une nouvelle version du module EVM nécessite une mise à niveau réseau synchronisée entre l'ensemble des validateurs — une opération qui ne se réalise pas en quelques heures. Résultat : entre le 19 août (date du patch) et le 25 août (fin de la fenêtre d'exploitation), six réseaux Cosmos restaient vulnérables et l'attaquant en a profité.

Les blockchains affectées n'ont pas toutes été nommées publiquement dans les premières communications de Cosmos Labs. L'incident illustre une tension fondamentale dans les écosystèmes de blockchain modulaires : le code partagé entre de multiples chaînes amplifie le rayon de blast d'une vulnérabilité unique. Là où un bug dans un protocole monolithique n'affecte qu'une seule chaîne, une faille dans un module Cosmos EVM partagé peut simultanément compromettre des dizaines de réseaux.

Cosmos Labs a reconnu publiquement son erreur d'évaluation initiale, admettant avoir mal jugé la sévérité de la vulnérabilité. La société a initié une révision de ses processus de gestion des divulgations de vulnérabilités, notamment les critères déclenchant une procédure de patch privée coordonnée versus une mise à jour silencieuse. L'ensemble des réseaux utilisant le module EVM seront désormais notifiés directement dès qu'une vulnérabilité Critique est confirmée.

Cet incident s'inscrit dans une tendance plus large : les écosystèmes blockchain demeurent vulnérables aux failles classiques de développement logiciel — integer overflows, underflows, reentrancy — que l'industrie de la sécurité traditionnelle combat depuis des décennies. La décentralisation de la gouvernance ne constitue pas un bouclier contre les erreurs de programmation dans les couches protocolaires partagées.

La source The Block a rapporté que l'impact total pourrait être supérieur aux 5,72 millions initialement annoncés si des transactions secondaires liées à l'exploitation n'ont pas encore été pleinement documentées. Les investigations sont en cours au moment de la publication de cet article.

Impact et exposition

Les six blockchains affectées ont subi des pertes directes de 5,72 millions de dollars. Les opérateurs de nœuds et validateurs dans l'écosystème Cosmos qui n'avaient pas encore appliqué les versions v0.6.2 ou v0.7.2 du module EVM restaient exposés jusqu'à la mise à niveau réseau coordonnée. L'ensemble des protocoles DeFi construits sur ces chaînes sont concernés par les pertes directes et la perte de confiance associée pour leurs utilisateurs.

Recommandations

  • Opérateurs Cosmos EVM : vérifier immédiatement que les versions v0.6.2 ou v0.7.2 du module EVM sont déployées et actives
  • Valider les soldes des wallets sur les chaînes affectées pour détecter toute anomalie liée à l'exploitation de la période du 20 au 25 août 2026
  • Auditer les smart contracts déployés sur les chaînes Cosmos EVM pour identifier d'éventuels vecteurs secondaires liés à la manipulation de soldes
  • Revoir les critères d'escalade interne : un bug impossible à reproduire en laboratoire n'est pas un bug inexistant en production

Alerte critique

Si vous opérez des nœuds ou validateurs dans l'écosystème Cosmos EVM, vérifiez en priorité votre version du module EVM. Toute version antérieure à 0.6.2 ou 0.7.2 reste potentiellement vulnérable à l'exploitation documentée dans GHSA-7g4w-cg88-2cq2.

Comment Cosmos Labs aurait-il dû gérer cette divulgation différemment ?

Le principe de précaution est simple : en cas de doute sur l'exploitabilité en production, on traite comme si la faille était exploitable. La procédure correcte aurait été d'activer le canal de divulgation coordonnée privée dès la confirmation de la vulnérabilité, de notifier en parallèle tous les opérateurs de réseaux Cosmos EVM, et de fixer une date de patch synchronisée avec un délai court. Le coût d'une fausse alerte est infiniment inférieur au coût de 5,72 millions volés sur six chaînes.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit