Cosmos 可能存在关键漏洞，被朝鲜黑客注入代码

Cosmos (ATOM) 在继承伪装成开发者的朝鲜黑客的代码后，可能仍然存在关键漏洞。研究人员发现 Cosmos 的流动性质押模块可能需要彻底 overhaul，否则有暴露用户资金遭受攻击的风险。 

Cosmos (ATOM) 可能在雇佣伪装成朝鲜黑客后继承了恶意代码。这些漏洞可能仍然存在于流动性质押模块中，可能使资金面临被利用的风险。 

LSM 的建设始于 2021 年，由 Zaki Manian 和 Iqlusion 项目领导。Iqlusion 还从 Interchain Foundation (ICF) 获得了资金，用于其在开发 Cosmos Hub 模块方面的活动。

8 月，又有两名开发人员加入该项目——Jun Kai 和 Sarawut Sanit，后来被联系到朝鲜黑客行动。即使代码经过审计，Kai 和 Sanit 仍被指派修复代码。这两名开发人员最后活跃于 2022 年 12 月，直到 FBI 联系 Zaki Manian 提供信息后，他们的隶属关系才被揭露。

LSM 模块的漏洞花了多年时间才披露

Cosmos 社区花了多年时间才收到关于代码库流程的完整信息。在某个阶段，已知的规避惩罚漏洞据称已修复。然而，Cosmos 联合创始人 Jae Kwon 和 AllInBits 的研究人员 声称 指出部分代码库仍未更改，可能仍然存在风险。 

同时，Zaki Manian 声称代码库 重写 从零开始，但仍然没有解释为什么代码首先需要重写。Manian 表示，第一个 LSM 只是一个概念，但重写花费的时间非常短，随后便呼吁进行投票。 

Cosmos 社区成员还提出 证据 LSM 仍然依赖潜在的恶意代码。即使重写也包含了从伪装成开发者的黑客贡献中吸取的大量部分。ATOM 流动性质押模块允许在避免惩罚的同时进行恶意操作。黑客可以在生态系统中创造价值，而不会面临 ATOM 质押的惩罚。 

LSM 的最后一次提交来自 2022 年 2 月，与黑客仍然参与代码的时间重叠。2023 年 9 月 11 日之后，这个版本的代码已经有 19 个月没有经过审计，但已集成到 Cosmos Hub 中。 

代码库甚至通过 社区提案获得投票通过，当时并未披露已知的漏洞。LSM 在流动性质押项目是最受欢迎的加密叙事之一时，通过 Cosmos Hub 的社交媒体进行宣传。 

直到 2024 年 10 月，Zaki Manian 才承认知道 朝鲜 黑客的存在。目前，Cosmos Hub 流动性质押仍在运行，没有报告黑客攻击，但问题仍然存在，研究人员敦促至少进行另一次审计，甚至完全重写代码库。还提出了额外披露风险的需求，因为该问题在 LSM 模块的完整细节系统化之前很久就被怀疑存在。 

Cosmos 对其他链和项目仍然安全

Cosmos Hub 上锁定的大部分价值分配给 XRP Stride 和 Stafi 项目。然而，面临风险的价值相对较低，约为 87.6 万美元。Cosmos Hub 虽然试图成为 DeFi 和 Web3 的关键基础设施，但在 2022 年市场崩盘后落后于其他项目。 

在 LSM 之外，Cosmos 仍然是其所有生态系统项目的可靠载体。到目前为止，Cosmos 托管的代币价值超过 $20B，其中一些最突出的 AI 项目作为顶级资产。对 Cosmos 造成的最大损害是其与 Terra (LUNA) 的关联，现在以 Terra Classic (LUNC) 的形式存在。其他锁定价值属于额外的 Cosmos 链项目，尽管它们不暴露于 ATOM 流动性质押。 

Cosmos 还托管 Celestia (TIA) 以及最近热门的 Injective (INJ)，以及其他网络和 Web3 项目。基于 LSM 漏洞，连接的侧链不受直接影响。 

消息传出后， ATOM 过去几周持续下滑，降至 4.43 美元。质押的 ATOM 显示出显著的价格差异，Stride Staked Atom 交易价格为 $6.34.