L’écosystème Cosmos est actuellement sous le feu des critiques après la découverte d'une faille critique au sein du module Cosmos EVM, un composant essentiel permettant l'exécution de contrats intelligents compatibles avec Ethereum sur diverses blockchains. Cet incident de sécurité a touché quatre réseaux distincts : MANTRA, TAC, KiiChain et Nesa. Si MANTRA et Nesa ont réussi à suspendre leurs opérations à temps, KiiChain et TAC ont été les cibles d'attaques majeures, subissant des vols dont les préjudices théoriques se chiffrent en millions de dollars.

La polémique ne porte pas tant sur l'existence de la vulnérabilité que sur la stratégie de communication adoptée par Cosmos Labs. En optant pour un "correctif silencieux", l'entreprise a publié une mise à jour corrective dans son code source public sans alerter explicitement les équipes concernées. Dans le monde de l'open source, cette méthode est jugée contre-productive par de nombreux experts en cybersécurité. En rendant le correctif accessible sans avertissement préalable aux opérateurs de nœuds, Cosmos Labs a involontairement offert une feuille de route détaillée aux attaquants pour identifier et exploiter la faille sur les réseaux n'ayant pas encore finalisé leur mise à jour.

Les chiffres illustrent la violence de l'incident : KiiChain a vu ses portefeuilles siphonnés de 150 millions de jetons, tandis que TAC a subi le vol de 3 milliards de tokens. Bien que les valorisations théoriques aient été estimées à plusieurs millions de dollars, la liquidité réelle des jetons a conduit à une chute brutale des cours lors des reventes, révélant la fragilité économique de ces projets lors d'attaques massives. Ce cas de figure n'est toutefois pas une première, puisqu'un incident similaire avait déjà frappé Saga EVM en janvier dernier, soulignant un risque systémique lié à la mutualisation du module EVM au sein de l'écosystème.

Face à cet événement, les critiques fusent, notamment de la part de KiiChain qui qualifie cette gestion de négligente. Le grief principal repose sur l'absence de coordination privée avec les réseaux utilisateurs, une pratique pourtant standard dans l'industrie pour permettre une sécurisation en amont de la publication du code. Le manque de transparence de Cosmos Labs sur d'éventuelles notifications privées laisse planer le doute sur leur responsabilité réelle dans le succès de ces piratages.

Cet épisode pose un enjeu crucial pour l'avenir de la gouvernance technologique dans la finance décentralisée : comment concilier les principes de transparence de l'open source avec les impératifs de sécurité opérationnelle ? La communauté réclame désormais une refonte profonde des protocoles de divulgation de vulnérabilités. À l'heure où l'interopérabilité devient la norme, la gestion de ces failles critiques constitue un test de maturité pour Cosmos Labs, dont la réputation dépendra de sa capacité à sécuriser un socle technologique partagé par de nombreux acteurs du secteur.