Ce qu’il faut retenir :
- Une faille du module Cosmos EVM a affecté les réseaux MANTRA, TAC, KiiChain et Nesa.
- KiiChain et TAC ont subi des vols évalués à plusieurs millions de dollars.
- Le correctif a été publié discrètement, sans alerte sur les canaux officiels de Cosmos Labs.
Cosmos Labs fait face aux critiques du milieu de la sécurité crypto pour sa gestion de la divulgation d’une faille de son module Cosmos EVM, qui a provoqué des incidents sur quatre blockchains. Les réseaux MANTRA, TAC, KiiChain et Nesa apparaissent tous concernés par ce défaut, corrigé sans publicité la semaine dernière.
L’entreprise a fini par publier un avertissement, en conseillant aux validateurs des réseaux touchés d’arrêter leurs chaînes.
Ce qui est reproché au processus de divulgation
La méthode employée correspond à la politique affichée par Cosmos, celle du correctif silencieux. Le principe consiste à publier la correction sans en signaler la portée, pour éviter d’attirer l’attention sur la vulnérabilité avant que les utilisateurs n’aient mis à jour.
Le problème tient au fait que le code est public. Les notes de version indiquaient bien que la mise à jour contenait des corrections de sécurité importantes et recommandaient à toutes les chaînes de l’appliquer au plus vite dans le cadre d’une montée de version coordonnée. Aucun avertissement n’a en revanche été publié sur le compte X officiel de l’entreprise.
Un développeur a qualifié cette divulgation initiale de négligente. Contactée par Protos au sujet d’éventuelles notifications privées aux équipes concernées, l’entreprise n’avait pas répondu au moment de la publication.
KiiChain a formulé le grief de la façon la plus directe dans son rapport d’incident : publier un correctif de sécurité au grand jour, avant que les chaînes exécutant ce code n’aient été prévenues en privé et n’aient eu le temps de l’appliquer, revient à livrer la vulnérabilité à quiconque lit le commit.
Le réseau qualifie sa perte d’évitable et pointe trois facteurs aggravants : l’absence de préavis, l’échec à signaler la mise à jour comme critique, et le retard dans la communication du correctif.
Deux réseaux vidés, deux réseaux épargnés
MANTRA et Nesa ont annoncé des arrêts de chaîne avant même l’avertissement de Cosmos Labs, apparemment sans perte pour les utilisateurs. Les deux autres n’ont pas eu cette chance.
Le 22 août, les portefeuilles de KiiChain ont été vidés de près de 150 millions de KII. Ces jetons valaient théoriquement plus de 9 millions de dollars au moment des faits, mais leur revente précipitée n’a rapporté que 1,6 million de dollars en BUSD, ce qui a fait chuter brutalement le cours du token.
Cet écart mérite d’être noté. Il donne la mesure de la liquidité réelle d’un actif : la valorisation affichée suppose que l’on puisse vendre au cours du marché, ce qu’un attaquant pressé de sortir 150 millions d’unités ne peut pas faire.
Le même jour, le réseau TAC, orienté vers les usages Telegram, a vu 3 milliards de tokens TAC, évalués à environ 7,5 millions de dollars, siphonnés depuis son contrat de mise en jeu.
Un précédent en janvier
Ce n’est pas le premier incident sur cette base de code. Saga EVM, autre réseau utilisant le module Cosmos EVM, avait perdu environ 7 millions de dollars en janvier.
Le module en cause permet aux chaînes de l’écosystème Cosmos d’exécuter des contrats compatibles avec Ethereum. Sa mutualisation constitue l’intérêt du dispositif, puisque chaque réseau évite de réécrire cette couche. Elle en constitue aussi le risque : un défaut unique se propage à tous ceux qui l’utilisent.
Et maintenant ?
Le débat porte moins sur la faille elle-même que sur la méthode de divulgation.
Le modèle du correctif silencieux fonctionne dans un logiciel propriétaire, où l’utilisateur ne voit que le résultat. Sur du code ouvert, chaque modification est lisible par tous, y compris par ceux qui cherchent précisément à identifier ce qui vient d’être corrigé pour attaquer les systèmes non mis à jour. La pratique établie dans ce cas consiste à prévenir les opérateurs en privé, à leur laisser un délai, puis à publier.
Deux points restent à établir. L’existence et le contenu des notifications privées éventuellement adressées aux équipes concernées, sur lesquelles Cosmos Labs ne s’est pas exprimé. Et l’évolution de sa politique de divulgation, alors que quatre réseaux et un précédent en janvier documentent désormais les limites du dispositif actuel.
Cet article vous a plu ? Recevez les prochains par email
Rejoignez +40 000 abonnés. L'essentiel du marché crypto dans votre boîte mail, tous les 2 jours.
