L’écosystème Cosmos traverse une période de turbulences marquée par une série d’attaques informatiques ciblant ses infrastructures critiques. Entre le 20 et le 25 août, six blockchains distinctes ont été compromises par l'exploitation d'une vulnérabilité située au sein de Cosmos EVM, le logiciel qui permet l'exécution d'applications compatibles avec Ethereum au sein de l'architecture Cosmos. Contrairement à une attaque isolée visant un protocole spécifique, cette faille structurelle a permis aux attaquants de manipuler les soldes des portefeuilles pour détourner des actifs existants, générant un préjudice global estimé à environ 5,7 millions de dollars.

Le mécanisme technique reposait sur une incohérence entre le module de gestion des soldes et le système EVM, provoquant une erreur de « sous-flux » numérique. Lorsqu'une transaction manipulée faisait passer un solde en dessous de zéro, le système réinitialisait artificiellement ce montant à sa valeur maximale, offrant ainsi aux attaquants une réserve fictive utilisée pour drainer les fonds d'autres adresses cibles. Des projets tels que MANTRA, TAC et KiiChain ont été directement impactés, subissant des vols massifs sur des portefeuilles dormants ou des adresses de destruction.

La polémique enfle toutefois concernant la gestion de cette crise par Cosmos Labs. Il apparaît que la vulnérabilité avait été signalée dès le 25 avril via le programme de bug bounty. À l'époque, les équipes de développement, incapables de reproduire l'exploit dans leur environnement de test, avaient conclu à tort que les actifs ne couraient aucun risque, se contentant d'un correctif discret sans alerter urgemment les opérateurs de nœuds. La publication tardive des versions sécurisées, intervenue à peine vingt heures avant le début de la vague d'attaques, a laissé les réseaux dans une vulnérabilité critique malgré la conscience du risque.

Face aux critiques virulentes de certains réseaux victimes, Cosmos Labs a reconnu des « erreurs d’évaluation » dans le traitement de cette faille et s'est engagé à réviser ses protocoles de divulgation. Cet incident souligne un enjeu majeur pour les infrastructures décentralisées : le besoin d'une communication plus transparente et réactive entre les développeurs principaux et les blockchains dépendantes de leurs briques logicielles. Pour l'heure, la priorité est au gel des fonds sur les plateformes centralisées et à la consolidation de la sécurité sur les réseaux encore exposés.