Invasores exploraram uma vulnerabilidade na Cosmos EVM em seis redes, incluindo MANTRA, TAC e KiiChain. A falha também ameaçava cerca de 40 blockchains compatíveis com essa camada de software. No total, os ataques movimentaram quase US$ 6 milhões.

Em 28 de agosto de 2026, a Cosmos Labs informou que os invasores agiram antes de uma resposta emergencial alcançar todo o ecossistema. Eles converteram cerca de US$ 2,87 milhões em exchanges descentralizadas. Depois, movimentaram outros US$ 2,85 milhões por plataformas centralizadas.

As empresas responsáveis pelas plataformas centralizadas congelaram as contas ligadas às operações. A Cosmos EVM fornece compatibilidade com o Ethereum para redes desenvolvidas com o Cosmos SDK.

Cosmos Labs subestimou o alcance da vulnerabilidade

A Cosmos Labs recebeu o primeiro relato sobre a vulnerabilidade em 25 de abril. Após realizar testes, a empresa concluiu que o problema afetava redes configuradas com seis casas decimais. Contudo, as implementações conhecidas em produção utilizavam 18 casas decimais.

Por esse motivo, os engenheiros acreditaram que as redes já implantadas não enfrentavam riscos. A empresa aplicou seu processo silencioso de correção pública. Esse procedimento substituiu a distribuição privada usada quando uma falha ameaça fundos de usuários ativos.

Em 15 de maio, a equipe incorporou uma correção ao código principal. Entretanto, a atualização não chegou imediatamente às ramificações antigas. A mudança alterava o estado das redes e exigia atualizações coordenadas entre os operadores.

Divulgação pública antecipou os primeiros ataques

No início de agosto, novas pesquisas mudaram a avaliação inicial. Os estudos mostraram que as implementações da Cosmos EVM enfrentavam riscos independentemente da quantidade de casas decimais. Assim, a configuração usada pelas redes em produção não impedia a exploração.

A equipe disponibilizou as versões corrigidas v0.6.2 e v0.7.2 no fim de 19 de agosto. Na manhã seguinte, um pull request público descreveu a vulnerabilidade e o caminho necessário para explorá-la. O documento apareceu em uma ramificação de outro projeto.

Menos de 12 horas depois, a MANTRA registrou a primeira transação não autorizada conhecida. A TAC relatou uma exploração cerca de 45 horas após o incidente inicial. Logo depois, a KiiChain também sofreu um ataque.

Falha combinava dois erros de contabilidade

A vulnerabilidade reunia dois erros contábeis. Primeiro, o invasor provocava um underflow de inteiro sem sinal, criando um saldo anormalmente alto. Em seguida, usava esse estado para causar um overflow em outra conta.

Com isso, o responsável conseguia retirar seu saldo legítimo. Ainda assim, a operação não aumentava a oferta total dos tokens. O ataque tornava transferíveis valores que antes permaneciam inertes.

Após os incidentes, a Cosmos Labs contatou 40 redes. Entre elas, 13 implementações potencialmente expostas adotaram correções, interrupções ou outras medidas antes de sofrer ataques. A resposta também revelou 11 implementações desconhecidas pelos canais de segurança da empresa.

O alcance potencial abrangia um ecossistema avaliado em mais de US$ 7 bilhões. Porém, esse valor inclui projetos que podem não ter utilizado o software vulnerável. Portanto, ele não representa diretamente o montante exposto pela falha.

MANTRA concentrou a maior perda divulgada

Na MANTRA, o invasor transferiu cerca de 600 milhões de tokens de um endereço de queima. Também retirou 120,9 milhões de uma antiga carteira multisig do período de gênese. Nenhum token novo surgiu durante o ataque.

Apesar disso, a movimentação tornou transferíveis saldos antes inertes. A oferta circulante aumentou em aproximadamente 720,9 milhões de MANTRA. O projeto estimou o impacto em US$ 3,6 milhões, considerando o preço anterior ao incidente.

Até 28 de agosto, a rede não havia recuperado os tokens. Cerca de 38 milhões permaneciam imobilizados na conta do invasor. Enquanto isso, plataformas e autoridades receberam dados sobre os valores restantes, rastreados por rotas de exchanges.

A MANTRA reconheceu no X que seu monitoramento demorou quase quatro horas para sinalizar a primeira transação. O sistema considerava impossível movimentar fundos a partir do endereço de queima. Por isso, não emitiu um alerta imediato.

A equipe interrompeu a rede 14 minutos após identificar um segundo débito não autorizado. O serviço permaneceu indisponível por aproximadamente 30 horas. Posteriormente, o MANTRA atingiu uma mínima histórica e avançou cerca de 14%, para US$ 0,004744, após a divulgação do relatório.

O incidente levou a Cosmos Labs a revisar seus processos de triagem e divulgação de vulnerabilidades. Uma falha inicialmente considerada improvável em redes de produção atingiu seis implementações. Além do prejuízo financeiro, o caso exigiu medidas emergenciais em dezenas de outras redes.