Una vulnerabilidad reciente que afecta al ecosistema de Cosmos y a Ethermint fue descubierta recientemente por la firma comercial de criptomonedas Leap Crypto y bloqueada antes de que pudiera causar un impacto de hasta ‘ocho cifras’ en dólares estadounidenses, dijeron los desarrolladores de Cosmos a CoinDesk.
La red comprometida en este incidente fue Ethermint, que permite el uso de contratos inteligentes de Ethereum dentro del ecosistema Cosmo, y es empleada por varias cadenas, incluidas Cronos, Kava y Canto.
El error podría haber permitido potencialmente a un atacante eludir funciones específicas de contratos inteligentes llamadas controladores, lo que provocó el robo de tarifas de transacción y la denegación de servicio a los usuarios.
Inmediatamente después de recibir el informe, el equipo de desarrollo central de Evmos y el equipo de Cronos colaboraron con Jump Crypto para abordar el problema. La implementación incluyó un parche para bloquear transacciones con mensajes ‘MsgEthereumTx’, lo que permitió eliminar el vector de ataque.
No se produjo ninguna explotación maliciosa, lo que garantiza la estabilidad y fiabilidad continuas de las cadenas afectadas.
El equipo de Cronos otorgó a Leap Crypto una recompensa de $25,000 por descubrir y revelar la vulnerabilidad.
Evmos dijo que la causa raíz de la vulnerabilidad radica en el manejo inadecuado de los mensajes transaccionales en la implementación de Ethermint, específicamente la interacción entre el mensaje MsgEthereumTx y el mensaje MsgExec.
El mensaje MsgExec se usa en Cosmos SDK para permitir la ejecución autorizada de mensajes al permitir que una cuenta otorgue autorización a otra cuenta. Sin embargo, esta función no se protegió adecuadamente, lo que permitió al atacante eludir el ‘EthGasConsumeDecorator’, que es responsable de deducir las tarifas de gasoline de las transacciones.
El atacante aprovechó la vulnerabilidad al incorporar un mensaje MsgEthereumTx dentro de un mensaje MsgExec. Esto pasó por alto el EthGasConsumeDecorator, lo que provocó que el atacante no pagara las tarifas de gas por sus transacciones.
