Cosmos könnte kritische Verwundbarkeiten aufweisen, trägt Code-Injektionen von nordkoreanischen Hackern

Cosmos (ATOM) könnte nach dem Erben von Code von undercover nordkoreanischen Hackern, die sich als Entwickler ausgegeben haben, immer noch kritische Verwundbarkeiten aufweisen. Forscher haben entdeckt, dass das Cosmos-Modul für flüssiges Staking möglicherweise einer Überholung bedarf, oder es riskiert, Benutzerfonds Exploits auszusetzen. 

Cosmos (ATOM) könnte bösartigen Code geerbt haben, nachdem es undercover nordkoreanische Hacker eingestellt hat. Die Verwundbarkeiten könnten immer noch im Modul für flüssiges Staking existieren und potenziell Fonds Exploits aussetzen. 

Der LSM-Bau begann 2021, geleitet von Zaki Manian und dem Iqlusion-Projekt. Iqlusion hat auch Finanzierung von der Interchain Foundation (ICF) für seine Aktivitäten bei der Entwicklung von Cosmos-Hub-Modulen erhalten.

Im August traten zwei weitere Entwickler dem Projekt bei – Jun Kai und Sarawut Sanit, die später mit nordkoreanischen Hacking-Operationen in Verbindung gebracht wurden. Selbst nachdem der Code einem Audit unterzogen wurde, waren Kai und Sanit damit beauftragt, den Code zu beheben. Die beiden Entwickler waren bis Dezember 2022 aktiv, und ihre Zugehörigkeit wurde erst entdeckt, als das FBI Zaki Manian mit den Informationen kontaktierte.

Verwundbarkeiten im LSM-Modul wurden erst nach Jahren offengelegt

Es dauerte Jahre, bis die Cosmos-Community die gesamten Informationen über den Codebase-Prozess erhielt. Zu einem bestimmten Zeitpunkt wurde die bekannte Verwundbarkeit für Slashing-Evasion angeblich repariert. Allerdings behaupteten der Cosmos-Mitbegründer Jae Kwon und die Forscher von AllInBits dass Session-Key-Ausgaben und Händler-Whitelists wie das fehlende Standard-Feature für KI-Agenten-Zahlungen wirken. Sie glauben, dass es für Stripe viel einfacher wäre, die Updates „in prod“ auszuliefern, wenn dies frühzeitig geschieht. dass ein Teil des Codebase unverändert geblieben ist und immer noch ein Risiko darstellen könnte. 

Gleichzeitig behauptete Zaki Manian, dass der Codebase neu geschrieben wurde, aber immer noch nicht die lose Enden zusammenbindet, warum der Code überhaupt neu geschrieben werden musste. Manian erklärte, dass das erste LSM ein Konzept war, aber das Umschreiben dauerte sehr kurz, bevor eine Abstimmung gefordert wurde. 

Mitglieder der Cosmos-Community präsentierten auch Beweise dass das LSM weiterhin auf potenziell schädlichen Code zurückgreift. Selbst der Neuschrieb enthielt erhebliche Abschnitte, die aus den Beiträgen von Hackern stammten, die sich als Entwickler ausgaben. Das ATOM-Liquid-Staking-Modul ermöglicht schädliche Handlungen, während es Slashing vermeidet. Ein Hacker könnte Wert im Ökosystem schaffen, ohne eine Strafe für sein ATOM-Staking in Kauf nehmen zu müssen. 

Der letzte Commit für das LSM stammte aus Februar 2022, was zeitlich mit der Phase zusammenfiel, in der die Hacker noch in den Code involviert waren. Nach dem 11. September 2023 lag diese Codeversion bereits 19 Monate ohne Audits vor, wurde jedoch in den Cosmos Hub integriert. 

Der Codebase wurde sogar durch einen Community-Vorschlagverabschiedet, ohne die zu diesem Zeitpunkt bekannten Sicherheitslücken offenzulegen. Das LSM wurde über die Social-Media-Kanäle des Cosmos Hub beworben, zu einer Zeit, in der Liquid-Staking-Projekte zu den beliebtesten Krypto-Narrativen gehörten. 

Erst im Oktober 2024 gab Zaki Manian zu, von der Kenntnis der Nordkoreanischen Hacker gewusst zu haben. Derzeit funktioniert das Liquid-Staking des Cosmos Hub weiterhin ohne gemeldete Hacks, doch das Problem bleibt bestehen, und Forscher drängen auf mindestens ein weiteres Audit, wenn nicht sogar auf eine vollständig neue Codebasis. Auch die Notwendigkeit einer zusätzlichen Offenlegung von Risiken wurde angesprochen, da das Problem bereits lange vor der Systematisierung der vollständigen Details des LSM-Moduls vermutet wurde. 

Cosmos bleibt für andere Chains und Projekte sicher

Der Großteil des auf dem Cosmos Hub gebundenen Werts ist in Liquid Staking die Projekte Stride und Stafi investiert. Der risikobehaftete Wert ist jedoch mit rund 876.000 US-Dollar relativ gering. Der Cosmos Hub hat, obwohl er sich als zentrale Infrastruktur für DeFi und Web3 positioniert, seit dem Markteinbruch 2022 andere Projekte hinter sich gelassen. 

Außerhalb des LSM bleibt Cosmos ein zuverlässiger Träger für alle seine Ökosystem-Projekte. Bisher hostet Cosmos Token im Wert von mehr als $20 Mrd., wobei einige der prominentesten KI-Projekte zu den Top-Assets gehören. Der größte Schaden für Cosmos war seine Beteiligung an Terra (LUNA), die nun in Form von Terra Classic (LUNC) fortbesteht. Der übrige gebundene Wert gehört zu weiteren Cosmos Chains, die jedoch nicht dem ATOM-Liquid-Staking ausgesetzt sind. 

Cosmos hostet auch Celestia (TIA) sowie das kürzlich aufstrebende Injective (INJ) unter anderem Netzwerken und Web3-Projekten. Die verbundenen Sidechains sind aufgrund der LSM-Sicherheitslücken nicht direkt betroffen. 

Nach den Nachrichten ATOM seinen Abwärtstrend der letzten Wochen fortgesetzt und ist auf 4,43 US-Dollar gefallen. Gestaktes ATOM zeigt eine erhebliche Preisdivergenz, wobei Stride Staked Atom bei $6.34.