Cosmos实验室披露EVM漏洞致六链被盗约570万美元
Cosmos Labs发布EVM模块安全事件分析：8月20日19:06至8月25日15:20（协调世界时），攻击者利用共享Cosmos EVM漏洞从多条链盗取资金。MANTRA率先通报后，安全团队通过非公开渠道向约40条链分发补丁与缓解指引。
六个网络被攻击。按8月19日价格估算，约287万美元资产经桥接后在去中心化交易所出售，包括约261.37万USDT、114.13枚ETH、93.78枚TON、1.39枚USDC与98.87枚OSMO；另约285万美元在中心化交易所出售，相关账户已被冻结并等候调查。合计变现约570万美元。另有13个潜在风险网络及时完成修补、停链或其他防护，未再出现损失。
该缺陷于4月25日经漏洞赏金计划报来。测试未能在生产网络配置上复现，团队判断不影响真实资金，在未发安全公告的情况下完成修复。事后报告将根因写成无符号整数下溢：余额核对在不足时回绕成极大值，再与质押预编译等调用组合，使未授权地址可转移资金。MANTRA一侧约7.209亿枚代币被挪走，估值约360万美元，主要来自销毁地址与创世期多签，验证人密钥未被攻破。
官方建议运行受影响版本的链立即停块并升级。补丁版本被指向v0.6.2与v0.7.2一带。实验室称将加强关键漏洞分诊与修复、扩大安全沟通覆盖，并计划引入外部专家审计安全实践。共享模块意味着一条配置误判可以同时暴露数十条链。
赏金已报、公告未发、生产复现失败，把窗口留到8月。先停链的网络保住了剩余库存，后知后觉的网络承担变现盘口。中心化交易所冻卡把一部分出口暂时封上，链上已成交部分无法原路退回。
市场机制上，买方是在去中心化与中心化盘口接盗币的交易对手，卖方是被共享模块连坐的应用链。事件由生产利用触发。资金从销毁地址与国库类钱包流向桥与交易所，再换成稳定币与主流资产。受益的是及时停块并打补丁的13条链，承压的是已变现的六条链与未发公告的模块维护方。
来源：公开信息
ABAB AI 解读
共享EVM模块把Cosmos应用链写成同一套账户算术。四月赏金被判“生产配不出来”，等于用测试矩阵代替全网配置普查。整数下溢是教科书级缺陷，一旦与质押预编译拼在一起，销毁地址也会重新变得可转账。MANTRA的监测把销毁地址当成死账户，第一笔转出空窗近四小时。四十条链的协调证明开源模块的安全联系人名单比代码本身更关键：没有邮箱的链，收不到私有补丁。
资本路径是模块维护方承担分诊，应用链承担停块与市值。360万美元的MANTRA挪移没有增发新币，只是把本应不可动的余额重新写入流通。桥接后的287万与交易所的285万把同一批库存拆成两个出口。冻卡是中心化清算的最后闸门，去中心化成交没有闸门。一月Saga的预编译双花与此次下溢，是同一维护栈上的第二次模块级事件。
类似结构见于以太坊客户端漏洞连坐多家网络、跨链桥共享验证器、以及云镜像同一错误配置。应用链处在用共享EVM换以太坊工具生态、同时继承共享缺陷半径的阶段。不发公告的修复，对已分叉或延迟升级的链等于零修复。
本质是产业链重构中的安全定价失败。机制是：模块作者用测试环境给漏洞评级，应用链用主网资金给评级做最终验收；评级偏低就不发公告，公告缺失就让攻击者与维护者同时起跑。共享代码摊薄了开发成本，也摊薄了谁该为生产配置负责。
ABAB News · 认知定律
测试环境复现不了，不等于主网资金安全
共享模块省下的开发成本，会在同一天向四十条链收款
不发公告的修复，对没升级的链等于没有修复