코스모스 EVM 취약점, 6개 체인서 570만 달러 피해…4월 신고 때 ‘운영망 위험 없음’ 오판

코스모스 랩스(Cosmos Labs)가 현지시간 8월 28일 여러 코스모스 기반 체인이 사용하는 Cosmos EVM의 취약점과 공격 경과를 담은 공식 포스트모템을 공개했다. 공격은 협정세계시 기준 8월 20일부터 25일까지 6개 체인에서 발생했다. 공격자는 탈취 자산 가운데 약 287만 달러어치를 탈중앙화거래소에서, 약 285만 달러어치를 중앙화거래소에서 처분한 것으로 추산됐다. 관련 중앙화거래소 계정은 수사를 위해 동결됐지만, 탈취 자산의 실제 회수 여부는 확인되지 않았다. 문제는 잠금 해제 전인 토큰을 보유한 '베스팅 계정'의 잔액을 Cosmos EVM과 코스모스의 스테이킹 시스템이 서로 다르게 계산하면서 발생했다. 사용 가능한 잔액보다 많은 토큰을 스테이킹하자 잔액이 0 아래로 내려가는 대신 매우 큰 숫자로 바뀌었다. 공격자는 이 잔액을 잔액이 많은 다른 계정으로 보내 같은 오류를 일으킨 뒤, 그 계정이 갖고 있던 토큰을 가져갔다. 이 취약점은 4월 25일 버그바운티를 통해 처음 신고됐다. 그러나 신고 당시 시험 사례가 소수점 6자리 네트워크를 기준으로 작성돼 있었고, 코스모스 랩스는 소수점 18자리 환경에서 문제를 재현하지 못했다. 이에 운영 중인 네트워크의 자금에는 위험이 없다고 판단했지만, 실제로는 소수점 자릿수와 무관하게 모든 Cosmos EVM 체인이 영향을 받은 것으로 확인됐다. 취약점은 v0.6.2와 v0.7.2에서 수정됐다. 설정 변경만으로는 문제를 완전히 막을 수 없으며, 즉시 업그레이드하기 어려운 체인은 공격을 막기 위해 네트워크를 중단해야 한다고 코스모스 랩스는 권고했다. 이번 공개는 취약점의 원인과 대응 경과를 정리한 것이지, 탈취 자산의 회수나 모든 체인의 패치 완료를 뜻하지는 않는다.