Das Cosmos-Ökosystem steht derzeit massiv in der Kritik, nachdem eine kritische Sicherheitslücke im Cosmos EVM-Modul entdeckt wurde – einem essenziellen Bestandteil, der die Ausführung Ethereum-kompatibler Smart Contracts auf verschiedenen Blockchains ermöglicht. Der Vorfall betraf vier Netzwerke: MANTRA, TAC, KiiChain und Nesa. Während es MANTRA und Nesa gelang, ihre Betriebsabläufe rechtzeitig auszusetzen, wurden KiiChain und TAC Opfer schwerer Angriffe, bei denen die theoretischen Schäden in die Millionen gehen.

Die Kontroverse entzündet sich weniger an der Sicherheitslücke selbst als vielmehr an der Kommunikationsstrategie von Cosmos Labs. Mit der Entscheidung für einen „stillen Patch“ veröffentlichte das Unternehmen ein Sicherheitsupdate im öffentlichen Quellcode, ohne die betroffenen Teams explizit zu warnen. In der Open-Source-Welt halten viele Cybersicherheitsexperten dieses Vorgehen für kontraproduktiv. Indem Cosmos Labs den Patch ohne Vorwarnung für Node-Betreiber zugänglich machte, lieferten sie Angreifern unfreiwillig eine detaillierte Anleitung, wie diese die Schwachstelle in Netzwerken ausnutzen konnten, die ihr Update noch nicht abgeschlossen hatten.

Die Zahlen verdeutlichen das Ausmaß des Vorfalls: KiiChain verzeichnete den Abfluss von 150 Millionen Token, während bei TAC 3 Milliarden Token entwendet wurden. Obwohl die theoretischen Bewertungen in die Millionen gingen, führte die tatsächliche Liquidität der Token zu einem drastischen Kursverfall bei den Verkäufen, was die wirtschaftliche Anfälligkeit solcher Projekte bei massiven Angriffen offenlegte. Dies ist jedoch kein Einzelfall; bereits im Januar hatte ein ähnlicher Vorfall die Saga EVM getroffen und das systemische Risiko aufgezeigt, das mit der gemeinsamen Nutzung des EVM-Moduls innerhalb des Ökosystems einhergeht.

Infolge dieser Ereignisse hagelt es Kritik, insbesondere von KiiChain, das den Umgang von Cosmos Labs als fahrlässig bezeichnet. Der Hauptvorwurf richtet sich gegen das Fehlen einer privaten Koordination mit den betroffenen Netzwerken – ein Branchenstandard, um eine Absicherung vor der Veröffentlichung des Codes zu ermöglichen. Die mangelnde Transparenz von Cosmos Labs bezüglich etwaiger privater Benachrichtigungen lässt Zweifel an ihrer Verantwortung für den Erfolg dieser Hackerangriffe aufkommen.

Dieser Vorfall stellt eine zentrale Herausforderung für die Zukunft der technologischen Governance im dezentralen Finanzwesen dar: Wie lassen sich die Transparenzprinzipien von Open Source mit den Anforderungen an die operative Sicherheit in Einklang bringen? Die Community fordert nun eine grundlegende Überarbeitung der Protokolle zur Offenlegung von Sicherheitslücken. In einer Zeit, in der Interoperabilität zum Standard wird, ist das Management solcher kritischen Schwachstellen ein Reifetest für Cosmos Labs – dessen Reputation davon abhängen wird, wie sicher es das technologische Fundament gestalten kann, das von zahlreichen Akteuren der Branche genutzt wird.