Publicado en

Vulnerabilidad Crítica en Cosmos EVM: Un Recordatorio sobre la Gestión de Riesgos en Blockchain

•Publicado enVulnerabilidades

Impacto de la falla en el módulo Cosmos EVM y el drenaje de fondos

Recientemente, la comunidad de ciberseguridad y el sector blockchain se han visto alertados por una vulnerabilidad crítica en el módulo compartido Cosmos EVM. Esta falla, identificada como GHSA-7g4w-cg88-2cq2, fue explotada entre el 20 y el 25 de agosto de 2026, resultando en el drenaje de fondos de seis cadenas de bloques distintas. El incidente subraya los desafíos inherentes a la gestión de parches en infraestructuras descentralizadas y la importancia de protocolos de respuesta ante incidentes robustos.

Análisis técnico: ¿En qué consistió la vulnerabilidad?

El núcleo del problema reside en la forma en que el módulo concilia el estado de la Ethereum Virtual Machine (EVM) con el módulo x/bank de Cosmos SDK. Específicamente, la falla afectó a las cuentas de vesting (asignación progresiva de activos). Cuando una de estas cuentas delegaba una cantidad superior a su saldo disponible, el sistema realizaba una resta sin la verificación adecuada.

Desde una perspectiva técnica, esto provocó un error de underflow, donde el saldo de la cuenta se ‘envolvía’ hasta alcanzar valores astronómicos (cercanos a 2^256). Los atacantes pudieron aprovechar este saldo ficticio para extraer fondos reales de las redes afectadas. Se estima que las pérdidas ascienden a aproximadamente 5.7 millones de dólares, distribuidos entre intercambios descentralizados (DEX) y centralizados (CEX).

La controversia del ‘Silent Patch’

Uno de los puntos más críticos de este incidente fue la gestión de la comunicación por parte de Cosmos Labs. Aunque la vulnerabilidad fue reportada en abril a través de un programa de bug bounty, inicialmente se evaluó erróneamente como de bajo riesgo para redes en producción.

Cosmos Labs optó por un proceso de parche silencioso (silent patch), publicando la solución en ramas de código abiertas sin una advertencia privada previa a todos los operadores de red. Esta exposición pública del código corregido permitió a los actores maliciosos realizar ingeniería inversa sobre la solución para identificar y explotar la vulnerabilidad antes de que muchas cadenas pudieran actualizar sus sistemas.

Recomendaciones para empresas y operadores de red

Para las organizaciones que operan en el ecosistema Cosmos o gestionan infraestructuras blockchain, este incidente deja lecciones fundamentales sobre cumplimiento y seguridad:

  • Actualización Inmediata: Es imperativo migrar a las versiones v0.6.2 o v0.7.2 (o superiores). Debido a que este cambio altera el estado de la red, requiere una actualización coordinada.
  • Protocolos de Detención: En caso de no poder aplicar el parche de inmediato, la recomendación oficial es detener la producción de bloques para proteger los activos de los usuarios.
  • Mitigación de Precondiciones: Se recomienda rechazar mensajes de creación de cuentas de vesting (MsgCreateVestingAccount) en el ante handler para cerrar el vector de ataque principal.
  • Registro de Contactos de Seguridad: El incidente reveló que muchas redes no estaban registradas en los canales de seguridad oficiales, lo que retrasó la notificación de emergencia.

Desde Intedya, enfatizamos que la ciberseguridad en entornos blockchain no solo depende de la robustez del código, sino de una gestión de riesgos proactiva y una comunicación transparente. La implementación de estándares internacionales de seguridad de la información es vital para mitigar el impacto de vulnerabilidades críticas en activos digitales.

Fuentes