Correction d'une vulnérabilité de la blockchain Cosmos, empêchant un piratage potentiel de 150 millions de dollars

Ametric Research, contributeur du protocole Wormhole, a découvert une « vulnérabilité de réentrée » dans l'écosystème blockchain Cosmos qui aurait pu compromettre plus de 150 millions de dollars. Malgré la gravité du bug, il a été divulgué en privé et corrigé avant toute exploitation, selon Ametric et Amulet, l'opérateur du programme de bug bounty Cosmos.

Cosmos Blockchain Bug Patched, Preventing Potential $150 Million Loss

Correction d'un bug de Cosmos Blockchain, empêchant une perte potentielle de 150 millions de dollars

Asymmetric Research, a security firm actively contributing to the Wormhole interoperability protocol, has uncovered a critical vulnerability within the Cosmos blockchain ecosystem. This reentrancy bug, if exploited, could have potentially compromised over $150 million worth of digital assets.

Ametric Research, une société de sécurité contribuant activement au protocole d'interopérabilité Wormhole, a découvert une vulnérabilité critique au sein de l'écosystème blockchain Cosmos. Ce bug de réentrée, s’il était exploité, aurait pu compromettre plus de 150 millions de dollars d’actifs numériques.

Prompt Action Averts Disaster

Une action rapide évite un désastre

Asymmetric responsibly disclosed the vulnerability to the Cosmos development team, who promptly addressed the issue before any malicious actors could take advantage. "We privately disclosed the vulnerability through the Cosmos HackerOne Bug Bounty program and the issue is now patched," Asymmetric stated in an official release. "No malicious exploitation took place and no funds were lost."

Ametric a divulgué la vulnérabilité de manière responsable à l'équipe de développement de Cosmos, qui a rapidement résolu le problème avant que des acteurs malveillants puissent en profiter. "Nous avons divulgué la vulnérabilité en privé via le programme Cosmos HackerOne Bug Bounty et le problème est désormais corrigé", a déclaré Ametric dans un communiqué officiel. "Aucune exploitation malveillante n'a eu lieu et aucun argent n'a été perdu."

Jessy Irwin, CEO of Amulet, an organization contracted by the Interchain Foundation to oversee the bug bounty program and coordinate security for the Cosmos ecosystem, confirmed the report and the subsequent release of an advisory notice.

Jessy Irwin, PDG d'Amulet, une organisation engagée par la Fondation Interchain pour superviser le programme de bug bounty et coordonner la sécurité de l'écosystème Cosmos, a confirmé le rapport et la publication ultérieure d'un avis consultatif.

A First for Cosmos

Une première pour Cosmos

The Cosmos ecosystem encompasses a network of blockchains that share common code and core modules. While no funds were lost due to this bug, its discovery marks a significant milestone for the ecosystem. It represents the first instance of a reentrancy vulnerability being identified within Cosmos, a platform widely regarded as one of the most secure blockchain technologies.

L'écosystème Cosmos englobe un réseau de blockchains qui partagent un code commun et des modules de base. Bien qu'aucun argent n'ait été perdu à cause de ce bug, sa découverte marque une étape importante pour l'écosystème. Il s’agit du premier cas d’identification d’une vulnérabilité de réentrée au sein de Cosmos, une plateforme largement considérée comme l’une des technologies blockchain les plus sécurisées.

Inter-Blockchain Communication Vulnerability

Vulnérabilité de communication inter-blockchain

A key component of most Cosmos chains is the Inter-Blockchain Communication Protocol (IBC), a technology facilitating seamless communication and asset transfer between blockchains. Asymmetric's vulnerability discovery was specifically within ibc-go, a reference implementation of IBC utilized by numerous Cosmos chains.

Un élément clé de la plupart des chaînes Cosmos est le protocole de communication inter-blockchain (IBC), une technologie facilitant une communication transparente et un transfert d'actifs entre les blockchains. La découverte de la vulnérabilité d'Asymétrique concernait spécifiquement ibc-go, une implémentation de référence d'IBC utilisée par de nombreuses chaînes Cosmos.

"During the investigation of this issue, both Amulet and the IBC-go team independently assessed the potential impact to identify parties at risk and mitigate the severity," Irwin explained.

"Au cours de l'enquête sur ce problème, Amulet et l'équipe IBC-go ont évalué de manière indépendante l'impact potentiel afin d'identifier les parties à risque et d'en atténuer la gravité", a expliqué Irwin.

Infinite Token Minting Threat

Menace de frappe de jetons infinie

The vulnerability, categorized as a reentrancy bug, theoretically enabled an attacker to mint an infinite number of tokens on IBC-connected chains such as Osmosis, which hosts one of the largest decentralized finance (DeFi) ecosystems on Cosmos.

La vulnérabilité, classée comme bug de réentrée, permettait théoriquement à un attaquant de créer un nombre infini de jetons sur des chaînes connectées à IBC telles que Osmosis, qui héberge l'un des plus grands écosystèmes financiers décentralisés (DeFi) sur Cosmos.

"While this vulnerability has been present in ibc-go since its inception, it only became exploitable due to recent developments in the Cosmos SDK ecosystem," Asymmetric revealed in a blog post. The vulnerability was triggered by the emergence of "IBC middleware," third-party applications built using CosmWasm, a WebAssembly-based smart contract runtime, that enables cross-blockchain token usage.

"Bien que cette vulnérabilité soit présente dans ibc-go depuis sa création, elle n'est devenue exploitable qu'en raison des récents développements dans l'écosystème Cosmos SDK", a révélé Ametric dans un article de blog. La vulnérabilité a été déclenchée par l'émergence du « middleware IBC », des applications tierces construites à l'aide de CosmWasm, un environnement d'exécution de contrat intelligent basé sur WebAssembly, qui permet l'utilisation de jetons entre chaînes de blocs.

Highlighting Cross-Chain Security Risks

Mettre en évidence les risques de sécurité inter-chaînes

"This vulnerability emphasizes the urgent need for intensified research into cross-chain security risks to safeguard the multichain ecosystem," remarked Jonathan Claudius, CEO of Asymmetric and former security chief at venture firm Jump Crypto. "This case demonstrates our commitment to identifying and neutralizing existential threats that could jeopardize the digital economy."

"Cette vulnérabilité souligne la nécessité urgente d'intensifier la recherche sur les risques de sécurité inter-chaînes afin de protéger l'écosystème multichaîne", a remarqué Jonathan Claudius, PDG d'Asymétrique et ancien chef de la sécurité de la société de capital-risque Jump Crypto. "Cette affaire démontre notre engagement à identifier et neutraliser les menaces existentielles qui pourraient mettre en péril l'économie numérique."

Conclusion

Conclusion

The swift and effective response by Asymmetric Research and the Cosmos development team averted a potentially catastrophic loss of funds within the Cosmos blockchain ecosystem. This incident highlights the importance of continuous vulnerability monitoring and responsible disclosure practices within the blockchain industry. It also underscores the need for ongoing research into cross-chain security risks to ensure the resilience and security of the evolving multichain ecosystem.

La réponse rapide et efficace d’Asymétrique Research et de l’équipe de développement de Cosmos a permis d’éviter une perte de fonds potentiellement catastrophique au sein de l’écosystème blockchain de Cosmos. Cet incident met en évidence l’importance d’une surveillance continue des vulnérabilités et de pratiques de divulgation responsable au sein de l’industrie de la blockchain. Cela souligne également la nécessité de poursuivre la recherche sur les risques de sécurité inter-chaînes afin de garantir la résilience et la sécurité de l’écosystème multichaîne en évolution.