Cosmos Labs mis en cause pour sa gestion d’une faille touchant quatre blockchains
Cosmos Labs mis en cause pour sa gestion d’une faille touchant quatre blockchains
Ce qu’il faut retenir :
Cosmos Labs fait face aux critiques du milieu de la sécurité crypto pour sa gestion de la divulgation d’une faille de son module Cosmos EVM, qui a provoqué des incidents sur quatre blockchains. Les réseaux MANTRA, TAC, KiiChain et Nesa apparaissent tous concernés par ce défaut, corrigé sans publicité la semaine dernière.
L’entreprise a fini par publier un avertissement, en conseillant aux validateurs des réseaux touchés d’arrêter leurs chaînes.
An ongoing security incident has impacted users of the Cosmos EVM module. Cosmos Labs’ security and engineering teams have been proactively responding to this incident. We have advised the Cosmos EVM chains that are in contact with us to request that validators halt their chains.…
La méthode employée correspond à la politique affichée par Cosmos, celle du correctif silencieux. Le principe consiste à publier la correction sans en signaler la portée, pour éviter d’attirer l’attention sur la vulnérabilité avant que les utilisateurs n’aient mis à jour.
Le problème tient au fait que le code est public. Les notes de version indiquaient bien que la mise à jour contenait des corrections de sécurité importantes et recommandaient à toutes les chaînes de l’appliquer au plus vite dans le cadre d’une montée de version coordonnée. Aucun avertissement n’a en revanche été publié sur le compte X officiel de l’entreprise.
Un développeur a qualifié cette divulgation initiale de négligente. Contactée par Protos au sujet d’éventuelles notifications privées aux équipes concernées, l’entreprise n’avait pas répondu au moment de la publication.
KiiChain a formulé le grief de la façon la plus directe dans son rapport d’incident : publier un correctif de sécurité au grand jour, avant que les chaînes exécutant ce code n’aient été prévenues en privé et n’aient eu le temps de l’appliquer, revient à livrer la vulnérabilité à quiconque lit le commit.
Le réseau qualifie sa perte d’évitable et pointe trois facteurs aggravants : l’absence de préavis, l’échec à signaler la mise à jour comme critique, et le retard dans la communication du correctif.
MANTRA et Nesa ont annoncé des arrêts de chaîne avant même l’avertissement de Cosmos Labs, apparemment sans perte pour les utilisateurs. Les deux autres n’ont pas eu cette chance.
Le 22 août, les portefeuilles de KiiChain ont été vidés de près de 150 millions de KII. Ces jetons valaient théoriquement plus de 9 millions de dollars au moment des faits, mais leur revente précipitée n’a rapporté que 1,6 million de dollars en BUSD, ce qui a fait chuter brutalement le cours du token.
Cet écart mérite d’être noté. Il donne la mesure de la liquidité réelle d’un actif : la valorisation affichée suppose que l’on puisse vendre au cours du marché, ce qu’un attaquant pressé de sortir 150 millions d’unités ne peut pas faire.
Le même jour, le réseau TAC, orienté vers les usages Telegram, a vu 3 milliards de tokens TAC, évalués à environ 7,5 millions de dollars, siphonnés depuis son contrat de mise en jeu.
Ce n’est pas le premier incident sur cette base de code. Saga EVM, autre réseau utilisant le module Cosmos EVM, avait perdu environ 7 millions de dollars en janvier.
Le module en cause permet aux chaînes de l’écosystème Cosmos d’exécuter des contrats compatibles avec Ethereum. Sa mutualisation constitue l’intérêt du dispositif, puisque chaque réseau évite de réécrire cette couche. Elle en constitue aussi le risque : un défaut unique se propage à tous ceux qui l’utilisent.
Le débat porte moins sur la faille elle-même que sur la méthode de divulgation.
Le modèle du correctif silencieux fonctionne dans un logiciel propriétaire, où l’utilisateur ne voit que le résultat. Sur du code ouvert, chaque modification est lisible par tous, y compris par ceux qui cherchent précisément à identifier ce qui vient d’être corrigé pour attaquer les systèmes non mis à jour. La pratique établie dans ce cas consiste à prévenir les opérateurs en privé, à leur laisser un délai, puis à publier.
Deux points restent à établir. L’existence et le contenu des notifications privées éventuellement adressées aux équipes concernées, sur lesquelles Cosmos Labs ne s’est pas exprimé. Et l’évolution de sa politique de divulgation, alors que quatre réseaux et un précédent en janvier documentent désormais les limites du dispositif actuel.
Rejoignez +40 000 abonnés. L'essentiel du marché crypto dans votre boîte mail, tous les 2 jours.
Okx 300 euros sidebar
Deblock Sidebar 3 mois Premium
Okx 300 euros sidebar
Newsletter CryptoRejoignez +40 000 abonnés. L'essentiel du marché crypto, 2x par semaine, en 5 min. S'inscrire › En cochant cette case, vous confirmez avoir lu et accepté nos conditions d'utilisation concernant le traitement des données soumises via ce formulaire.En savoir plus sur notre newsletter crypto →
Rejoignez +40 000 abonnés. L'essentiel du marché crypto, 2x par semaine, en 5 min.
Deblock Sidebar Vault Euro
Ce site et les informations qui y sont publiées ne constituent en aucun cas des conseils en investissement ni une incitation quelconque à acheter ou vendre des instruments financiers.
Les CFD sont des instruments complexes et présentent un risque élevé de perte rapide en capital en raison de l'effet de levier. Entre 74 et 89 % des comptes de clients de détail perdent de l'argent lors de la négociation de CFD.
Vous devez vous assurer que vous comprenez comment les CFD fonctionnent et que vous pouvez vous permettre de prendre le risque élevé de perdre votre argent
Rejoignez +40 000 abonnés. Recevez l'essentiel du marché crypto, tous les 2 jours.
Auteur : Alex LeRoux
Date de publication : 26 August 2026