Cosmos Labs误判EVM漏洞致六条Cosmos(ATOM)链被盗572万美元

Cosmos Labs承认误判漏洞风险

Cosmos Labs已公开承认,团队此前错误地将共享Cosmos EVM模块中的一个余额处理漏洞判定为无害,而正是这一误判,为随后的攻击事件埋下伏笔——8月20日至8月25日期间,六条Cosmos(ATOM)区块链网络累计被盗约572万美元。时间线可以追溯到4月25日,团队当天收到该漏洞的首次报告。工程师随后对缺陷进行了测试,得出的结论是:该漏洞只可能影响使用6位小数代币精度的网络,而已知的所有生产环境Cosmos EVM链均采用18位小数精度;基于这一推断,所有已部署的网络都被认定不受影响。

正是基于这个结论,Cosmos Labs在5月通过一次“静默补丁”合并了修复代码——这种发布流程在不告知链运营商具体改动内容的情况下直接上线修复。这一假设一直维持到8月初:独立研究人员确认,该漏洞实际上影响每一条Cosmos EVM链,包括同样作为Cosmos-SDK体系下EVM网络(如Berachain)共享执行层的底层代码。不过,真正致命的失误在于时间差。Cosmos Labs于美东时间8月19日晚7点01分发布了补丁,发布说明仅将其描述为一项重要的安全修复,未提供任何技术细节。次日下午3点06分,第一波攻击正式开始——距补丁上线仅约20小时。这20小时正是“静默补丁”困境最尖锐的体现:隐瞒细节本意是在运营商升级期间不给攻击者留路线图,但当补丁被逆向工程的速度快于各链推送更新的速度时,从披露到防御之间的窗口期反而成了攻击者的机会。由于存在漏洞的是共享模块而非某条链的专属逻辑,单一缺陷同时传导至六条网络。这起事件也暴露了透明链在事后追回上的局限:被盗资金沿着可追踪路径实时转移——这种可见性在Monero等隐私资产上根本不存在,后者的资金流向默认即被遮蔽。

Swift账本押注互操作性

面对区块链的冲击,运行了53年、每天传递约5万亿美元支付指令的Swift没有选择死守旧轨道,而是选择将其吸收进来。其区块链共享账本已于7月上线,汇丰银行(HSBC)和渣打银行(Standard Chartered)均已通过该账本完成真实的跨境交易,建立起全天候运行的代币化支付基础设施。Swift所捍卫的规模相当可观:它每天为遍布200多个国家和地区的11500家金融机构处理超过5300万条金融报文,75%的支付指令能在10分钟内到达目标银行。该项目引用的麦肯锡估算显示,全球支付市场每年规模约2000万亿美元(2 quadrillion美元),其中Swift每年经手的规模约在1200万亿至1500万亿美元(1.2-1.5 quadrillion美元)之间。

比任何头条数字都更关键的一个细节是:Swift自身从不持有或转移资金。它发送的是标准化指令,让银行完成账户的借记与贷记,而真正的结算则要在代理行链条中缓慢流转,耗时1至5个工作日。这正是区块链轨道所要攻克的环节。稳定币可实现钱包对钱包的全天候转账——这种消费支付模式长期由PayPal等网络主导,其中还包括收益型稳定币(yield-bearing stablecoin)等设计;而代币化存款则让银行在链上完成账户对账户的结算,完全绕开代理行。Yellow Card首席执行官Chris Maurice认为,一旦这些轨道铺设完成,传统的Swift方案就不再被需要,中间层若不改变其靠资金搬运收费的商业模式,将很难存活。渣打银行数字支付负责人Naveen Mallela则反驳称,大多数跨境价值仍然以账户对账户而非钱包对钱包的方式流动。Swift数字资产战略负责人Jack Pouderoyen将真正的问题归结为碎片化——银行各自维护专有账本、发行方分散在多条链上——并主张通过银行现有的Swift连接即可触达的共享互操作层才是答案。日均转移6万亿美元的花旗(Citi)与17家试点银行之一的瑞银(UBS)均预期,最终将形成一个混合生态,而非单一赢家通吃。 希望实时跟踪行情的读者，可在MEXC查看现货与合约的实时价格。

中间层承压

两件事归根结底都在回答同一个问题:中间层究竟值多少钱。Cosmos Labs为8月19日补丁撰写的发布说明只透露“涉及安全关键改动”——正是这种不透明,让一个共享模块漏洞同时击中六条链。Swift给出的则是相反的赌注:公开账本,留住11500家银行的连接,让自己成为互操作层,而不是资金流动路上的收费站。我们的判断是:夹在用户与结算之间的基础设施,如今必须证明自己要么具备彻底的透明度,要么拥有不可替代的触达能力——最好两者兼得——才能在这场正在进行的重新定价中活下来。