Cosmos Labs披露，攻击者于8月20日至25日期间利用Cosmos EVM关键漏洞跨六条区块链网络窃取代币，并通过去中心化和中心化交易所兑换为约572万美元资产。
漏洞背景与修复滞后
该漏洞于4月25日首次通过漏洞赏金计划报告，但当时评估认为生产网络无风险，因此采用静默补丁。5月合并修复未告知运营商。8月初独立研究人员确认所有Cosmos EVM链受影响，于8月19日发布修复版本，但仅称“重要”安全修复而未描述漏洞细节。首个攻击在补丁发布约20小时后开始。
攻击手法与损失
漏洞为整数下溢，攻击者利用账户委托超额代币使余额环绕至最大值，进而盗取目标代币。MANTRA损失7.209亿代币（约360万美元），TAC近30亿代币（约95万美元售出），KiiChain约1.48亿KII（约160万美元售出）。另有三条链未具名遭攻击。总转化约572万美元。
各方回应
MANTRA指出20小时不足以协调验证者升级；KiiChain批评未提前指令停止出块。Cosmos Labs协调40条链，帮助13条修补或中止。事件反映开源生态安全披露挑战。