Der gepatchte Cosmos-Bug hätte 150 Millionen US-Dollar gefährden können, sagt das Unternehmen, das ihn gemeldet hat

Sie machten das Cosmos-Entwicklungsteam auf die „Wiedereintritts-Schwachstelle“ aufmerksam, die Asymmetric privat als ihre eigene Entdeckung meldete. Dieses Problem wurde angeblich vor einem möglichen Missbrauch behoben.

„Die von uns entdeckte Schwachstelle wurde stillschweigend über die Bug-Bounty-Plattform Cosmos HackerOne gemeldet und seitdem behoben. Glücklicherweise hat niemand sie böswillig ausgenutzt und es waren dadurch keine Gelder betroffen.“

Jessy Irwin, CEO von Amulet, die das Bug-Bounty-Programm der Interchain Foundation überwacht und die Sicherheit im gesamten Cosmos-Netzwerk verwaltet, bestätigte in einer E-Mail, dass ihnen das Problem gemeldet wurde. Inzwischen wurde eine Warnmeldung zu diesem Problem veröffentlicht.

Ein Cosmos-Premiere

Das Cosmos-Netzwerk besteht aus mehreren miteinander verbundenen Blockchains, die alle gemeinsamen Code und wesentliche Komponenten verwenden. Obwohl dieser Fehler keine finanziellen Verluste verursachte, stellte er das erste Mal dar, dass eine Wiedereintrittsschwachstelle im System entdeckt wurde – ein unerwarteter Befund, der Bedenken hinsichtlich der zuvor unbestrittenen Sicherheit und Zuverlässigkeit der Cosmos-Blockchain-Plattform aufkommen ließ.

Das Inter-Blockchain Communication Protocol (IBC) ist ein entscheidender Bestandteil vieler Cosmos-Blockchains, es ermöglicht eine nahtlose Kommunikation zwischen verschiedenen Blockchains und erleichtert die Übertragung von Vermögenswerten zwischen ihnen. Asymmetric hat kürzlich eine Schwachstelle in ibc-go aufgedeckt, einer beliebten Version von IBC, die von mehreren Cosmos-Ketten verwendet wird.

Während der Bearbeitung dieser Angelegenheit führten die Teams von Amulet und IBC-go getrennte Bewertungen durch, um mögliche betroffene Parteien zu finden und die Auswirkungen abzumildern. (Irwins Aussage paraphrasiert)

Ein Angreifer könnte aufgrund einer als Reentrancy Bug bekannten Schwachstelle möglicherweise eine unbegrenzte Anzahl von Token auf interoperablen Blockchains wie Osmosis erstellt haben, einem Teil des großen Decentralized Finance (DeFi)-Netzwerks auf Cosmos. Diese Art von Problem ermöglicht es böswilligen Akteuren, bestimmte Transaktionssequenzen auszunutzen und das System zu manipulieren.

Obwohl die Schwachstelle von ibc-go seit seiner Einführung vorhanden war, konnte es erst ausgenutzt werden, als neue Funktionen in der Cosmos SDK-Community auftauchten, insbesondere die Entwicklung von „IBC-Middleware“ – benutzerdefinierten Anwendungen, die mit CosmWasm, einer Smart-Contract-Laufzeitumgebung, erstellt wurden basierend auf WebAssembly. Diese Innovation ermöglichte die Übertragung von Token zwischen Blockchains.

„Die Entdeckung dieser Schwachstelle unterstreicht, wie wichtig es ist, zusätzliche Untersuchungen zu kettenübergreifenden Sicherheitsrisiken durchzuführen, um die Sicherheit des miteinander verbundenen Blockchain-Netzwerks zu verbessern“, bemerkte Jonathan Claudius, CEO von Asymmetric und früherer Sicherheitsleiter bei Jump Crypto. „Dieser Vorfall zeigt unsere Kompetenz und unser Engagement bei der Identifizierung und Bewältigung potenzieller Gefahren, die die digitale Wirtschaft gefährden könnten.“