Cosmos Labs, 28 Ağustos 2026 tarihli resmi post-mortem’de 20 Ağustos 19:06 UTC ile 25 Ağustos 15:20 UTC arasında Cosmos EVM’deki bir güvenlik açığının birden fazla Cosmos tabanlı zincirde istismar edildiğini yazdı. Altı ağ etkilendi. Saldırganlar çalınan tokenleri 19 Ağustos fiyatlarıyla DEX’lerde yaklaşık 2,87 milyon dolarlık başka varlığa çevirdi; merkezi borsalarda da yaklaşık 2,85 milyon dolarlık satış tahmin ediliyor. Post-mortem’e göre ilgili CEX hesapları yetkili makamların soruşturması beklerken donduruldu. Aynı gün MANTRA Chain kendi olay raporunu yayımladı; The Block 29 Ağustos’ta her iki metni özetledi.
Teknik kök: GHSA-7g4w-cg88-2cq2. Vesting hesabı harcanabilir bakiyeden fazla delege edince EVM StateDB SubBalance yazımı işaretlenmemiş underflow ile ~2^256’ya sarılıyor; ardından bu şişirilmiş bakiye yüksek bakiyeli bir hedefe gönderilerek overflow ile hedef boşa çekiliyor. Toplam arz fiilen artmıyor. Etkilenen sürümler v0.6.2 ve v0.7.2 öncesi. Yama 19 Ağustos 23:01 UTC’de v0.6.2 ve v0.7.2 olarak yayımlandı; release notu «önemli güvenlik düzeltmeleri» dedi, açığı isimlendirmedi.
İsimli zincirler post-mortem ve MANTRA/The Block metinlerinden: MANTRA 20 Ağustos’ta burn adresi ve eski multisig’den toplam ~720,9 milyon MANTRA (~3,6 milyon dolar, olay öncesi spot) çıktığını yazdı; ~14 dakika sonra zinciri durdurdu, 22 Ağustos’ta yamalı sürümle açtı. TAC 22 Ağustos’ta staking havuzundan ~3 milyar TAC çekildiğini; KiiChain aynı akşam ~148 milyon KII kaybı yazdı. Cosmos Labs üç zinciri daha aynı yöntemle vurulduğunu söylüyor, adlarını bu raporda vermiyor. Bubblemaps’in Nesa iddiası araştırmacı yorumudur; Cosmos Labs Nesa demiyor.
Teyit edilen: Cosmos Labs 28 Ağustos post-mortem’i, GHSA danışması, MANTRA 20 Ağustos olay raporu, DEX/CEX yaklaşık toplamları, Nisan 25 bug bounty raporu sonrası «canlı ağlar risk altında değil» değerlendirmesinin yanlış çıktığı itirafı, 40 zincirle koordinasyon. Teyit edilmeyen: isimsiz üç zincirin kimliği, tam kurtarma tutarı, Nesa’nın resmi mağdur listesinde olduğu. Cronos/Tectonic 30 Ağustos olayı ayrı bir istismardır; bu haber Cosmose EVM paylaşılan kod katmanıdır.
Kaynaklar
Sık sorulan sorular
Ne kadar para çıktı?
Cosmos Labs: DEX’te ~2,87 milyon, CEX’te ~2,85 milyon dolarlık satış (toplam ~5,7 milyon). MANTRA kendi kaybını ~3,6 milyon dolarlık MANTRA diye yazıyor. Zincir bazlı bağımsız denetim yok.
Açık neydi?
GHSA-7g4w-cg88-2cq2: vesting delege sonrası StateDB bakiyesinde underflow, ardından hedef hesapta overflow. Yama v0.6.2 ve v0.7.2.
Hangi zincirler?
Resmi metinde isimli: MANTRA, TAC, KiiChain. Üç zincir daha aynı yöntemle vuruldu; adları Cosmos Labs raporunda yok.
Ne zaman yamalandı?
v0.6.2/v0.7.2 19 Ağustos 23:01 UTC’de çıktı. İlk bilinen MANTRA saldırısı ~20 saat sonra, 20 Ağustos 19:06 UTC.
Cronos/Tectonic ile aynı mı?
Hayır. Cronos 30 Ağustos’ta Tectonic protokol istismarı sonrası ağı durdurdu; bu haber Cosmos EVM paylaşılan bakiyesi hatası ve 20–25 Ağustos altı zincir dalgası.
