Cosmos實驗室披露EVM漏洞致六鏈被盜約570萬美元
Cosmos Labs發佈EVM模塊安全事件分析：8月20日19:06至8月25日15:20（協調世界時），攻擊者利用共享Cosmos EVM漏洞從多條鏈盜取資金。MANTRA率先通報後，安全團隊通過非公開渠道向約40條鏈分發補丁與緩解指引。
六個網絡被攻擊。按8月19日價格估算，約287萬美元資產經橋接後在去中心化交易所出售，包括約261.37萬USDT、114.13枚ETH、93.78枚TON、1.39枚USDC與98.87枚OSMO；另約285萬美元在中心化交易所出售，相關賬戶已被凍結並等候調查。合計變現約570萬美元。另有13個潛在風險網絡及時完成修補、停鏈或其他防護，未再出現損失。
該缺陷於4月25日經漏洞賞金計劃報來。測試未能在生產網絡配置上覆現，團隊判斷不影響真實資金，在未發安全公告的情況下完成修復。事後報告將根因寫成無符號整數下溢：餘額覈對在不足時迴繞成極大值，再與質押預編譯等調用組合，使未授權地址可轉移資金。MANTRA一側約7.209億枚代幣被挪走，估值約360萬美元，主要來自銷燬地址與創世期多籤，驗證人密鑰未被攻破。
官方建議運行受影響版本的鏈立即停塊並升級。補丁版本被指向v0.6.2與v0.7.2一帶。實驗室稱將加強關鍵漏洞分診與修復、擴大安全溝通覆蓋，並計劃引入外部專家審計安全實踐。共享模塊意味着一條配置誤判可以同時暴露數十條鏈。
賞金已報、公告未發、生產復現失敗，把窗口留到8月。先停鏈的網絡保住了剩餘庫存，後知後覺的網絡承擔變現盤口。中心化交易所凍卡把一部分出口暫時封上，鏈上已成交部分無法原路退回。
市場機制上，買方是在去中心化與中心化盤口接盜幣的交易對手，賣方是被共享模塊連坐的應用鏈。事件由生產利用觸發。資金從銷燬地址與國庫類錢包流向橋與交易所，再換成穩定幣與主流資產。受益的是及時停塊並打補丁的13條鏈，承壓的是已變現的六條鏈與未發公告的模塊維護方。
來源：公開信息
ABAB AI 解讀
共享EVM模塊把Cosmos應用鏈寫成同一套賬戶算術。四月賞金被判“生產配不出來”，等於用測試矩陣代替全網配置普查。整數下溢是教科書級缺陷，一旦與質押預編譯拼在一起，銷燬地址也會重新變得可轉賬。MANTRA的監測把銷燬地址當成死賬戶，第一筆轉出空窗近四小時。四十條鏈的協調證明開源模塊的安全聯繫人名單比代碼本身更關鍵：沒有郵箱的鏈，收不到私有補丁。
資本路徑是模塊維護方承擔分診，應用鏈承擔停塊與市值。360萬美元的MANTRA挪移沒有增發新幣，只是把本應不可動的餘額重新寫入流通。橋接後的287萬與交易所的285萬把同一批庫存拆成兩個出口。凍卡是中心化清算的最後閘門，去中心化成交沒有閘門。一月Saga的預編譯雙花與此次下溢，是同一維護棧上的第二次模塊級事件。
類似結構見於以太坊客戶端漏洞連坐多家網絡、跨鏈橋共享驗證器、以及雲鏡像同一錯誤配置。應用鏈處在用共享EVM換以太坊工具生態、同時繼承共享缺陷半徑的階段。不發公告的修復，對已分叉或延遲升級的鏈等於零修復。
本質是產業鏈重構中的安全定價失敗。機制是：模塊作者用測試環境給漏洞評級，應用鏈用主網資金給評級做最終驗收；評級偏低就不發公告，公告缺失就讓攻擊者與維護者同時起跑。共享代碼攤薄了開發成本，也攤薄了誰該爲生產配置負責。
ABAB News · 認知定律
測試環境復現不了，不等於主網資金安全
共享模塊省下的開發成本，會在同一天向四十條鏈收款
不發公告的修復，對沒升級的鏈等於沒有修復