Cosmos Labs recibe críticas por revelar tarde una falla que afectó a cuatro blockchains

Una vulnerabilidad del módulo Cosmos EVM provocó incidentes en cuatro redes y expuso las tensiones entre los parches silenciosos y la coordinación de seguridad. KiiChain y TAC reportaron pérdidas millonarias, mientras Cosmos Labs pidió detener las cadenas afectadas.
***

• MANTRA y Nesa anunciaron pausas preventivas sin que se reportara afectación aparente a los fondos de usuarios.
• KiiChain perdió 148.326.583,15 KII en un ataque del 22 de agosto; el equipo describió 18 repeticiones de la misma técnica.
• TAC reportó el drenaje de 3.000 millones de tokens, valorados en cerca de USD $7,5 millones.

---

Cosmos Labs enfrenta cuestionamientos de la comunidad de seguridad cripto por la forma en que comunicó una vulnerabilidad de su módulo Cosmos EVM, componente utilizado por varias redes para operar contratos inteligentes compatibles con Ethereum. La falla fue vinculada con incidentes que afectaron a MANTRA, TAC, KiiChain y Nesa, aunque el impacto no fue igual en todas las cadenas. En medio de la investigación, Cosmos Labs recomendó detener los validadores de las redes involucradas.

El episodio reabrió el debate sobre el modelo de parches silenciosos aplicado por Cosmos Labs, una práctica que busca corregir vulnerabilidades sin publicar detalles antes de que los operadores actualicen sus sistemas. Según reportes sobre el caso, el código corregido estuvo disponible antes de que varias cadenas recibieran una advertencia privada y contaran con tiempo suficiente para protegerse.

Una falla con efectos en cuatro redes

El módulo Cosmos EVM recibió una actualización la semana pasada con una referencia general a correcciones de seguridad importantes, pero sin una alerta pública que destacara la gravedad del cambio. Las notas de lanzamiento recomendaron que las cadenas actualizaran cuanto antes mediante una migración coordinada, aunque el aviso no apareció en la cuenta oficial de Cosmos Labs durante el periodo previo a los incidentes, según la cobertura disponible.

Cosmos Labs comunicó posteriormente que un incidente de seguridad en curso estaba afectando a usuarios del módulo Cosmos EVM. La empresa aconsejó a las cadenas que estaban en contacto con su equipo solicitar a sus validadores que detuvieran las redes, una medida destinada a limitar nuevos daños mientras se revisaban los sistemas.

MANTRA y Nesa informaron pausas de sus respectivas cadenas, aparentemente sin afectación a los fondos de sus usuarios. Esas interrupciones preventivas contrastaron con los casos de TAC y KiiChain, donde los atacantes lograron retirar activos desde contratos y billeteras afectados.

La cobertura de Protos indicó que el parche fue divulgado bajo una política de comunicación silenciosa, pero que los esfuerzos de distribución de la corrección no evitaron los incidentes en las cuatro redes. No quedó esclarecido públicamente cuándo recibió cada cadena la información crítica.

KiiChain cuestiona la coordinación del parche

El 22 de agosto, un atacante drenó 148.326.583,15 KII de billeteras de KiiChain y repitió la misma técnica 18 veces contra distintos objetivos, según el informe del equipo de la red. El valor teórico de los tokens superaba los USD $9 millones al momento del ataque, de acuerdo con la información citada en los reportes.

KiiChain calificó la pérdida como evitable y atribuyó parte de la responsabilidad al proceso de divulgación de Cosmos Labs. El equipo sostuvo que publicar abiertamente una corrección de seguridad antes de informar en privado a las cadenas que ejecutaban ese código entregaba la vulnerabilidad a cualquier persona capaz de leer el cambio.

El informe de KiiChain también señaló tres fallas de coordinación: la ausencia de una notificación anticipada, la falta de una marca que identificara la actualización como crítica y el retraso en la comunicación directa del parche. Desde la perspectiva de la red, esos factores redujeron el margen disponible para actualizar los validadores antes de que terceros analizaran la modificación y buscaran explotar el defecto.

La diferencia entre el valor teórico de los tokens y el monto finalmente obtenido por los atacantes muestra además la fragilidad de la liquidez de activos asociados con redes pequeñas. Una venta masiva puede destruir rápidamente el precio de un token, aunque los detalles sobre la liquidación y sus efectos deben entenderse como información reportada por las fuentes del incidente.

TAC también reporta un drenaje millonario

El mismo periodo del ataque contra KiiChain, la red TAC, enfocada en aplicaciones vinculadas con Telegram, sufrió el retiro de 3.000 millones de tokens TAC desde su contrato de staking. La cantidad estaba valorada en aproximadamente USD $7,5 millones, según la información citada en los reportes sobre el incidente.

Un contrato de staking administra activos depositados por usuarios para participar en mecanismos de recompensas o validación, por lo que una vulnerabilidad en ese componente puede concentrar grandes cantidades de tokens en una sola superficie de ataque. En el caso de TAC, el drenaje elevó la preocupación sobre la exposición compartida entre distintas redes que utilizaban el módulo Cosmos EVM.

La secuencia de acontecimientos también puso en entredicho la capacidad de los operadores para distinguir entre una actualización rutinaria y una corrección urgente. Aunque las notas del lanzamiento recomendaron actualizar con rapidez, los críticos consideran que una instrucción general no sustituyó una alerta coordinada dirigida a los validadores y equipos de respuesta de cada cadena.

Causas de movimientos recientes

Confirmado: el principal catalizador identificado fue el incidente de seguridad asociado con el módulo Cosmos EVM. Cosmos Labs recomendó detener los validadores, mientras KiiChain y TAC reportaron drenajes y MANTRA pausó su cadena; estos acontecimientos presionaron la confianza en las redes y sus tokens.

Plausible: en KII, la venta de los activos obtenidos por los atacantes pudo amplificar la presión vendedora y la volatilidad. Sin embargo, los reportes disponibles no permiten atribuir cada movimiento de precio a una única causa ni establecer una relación causal completa.

Para los usuarios, las pausas de MANTRA y Nesa ilustran el beneficio potencial de actuar antes de que una vulnerabilidad sea explotada, mientras que las pérdidas de TAC y KiiChain reflejan el costo de una respuesta tardía. No obstante, la información disponible no establece públicamente todos los detalles técnicos del defecto ni permite atribuir a una sola causa cada pérdida, por lo que las acusaciones de KiiChain deben entenderse como señalamientos del equipo afectado.

El debate sobre los parches silenciosos

Los parches silenciosos buscan reducir el riesgo de que una vulnerabilidad sea explotada después de que un proyecto publique sus detalles técnicos. En teoría, el desarrollador corrige el código, notifica a los operadores relevantes y espera una actualización coordinada antes de explicar públicamente el problema, pero ese modelo depende de que todos los participantes reciban la información y reaccionen dentro de una ventana suficientemente corta.

En este episodio, desarrolladores y observadores cuestionaron la divulgación original, mientras que las notas públicas describían la versión como una actualización con correcciones importantes. La ausencia de una advertencia visible en los canales oficiales de Cosmos Labs alimentó la percepción de que la comunicación no reflejó la urgencia necesaria para proteger a las cadenas que dependían del módulo.

El caso plantea una tensión difícil para los desarrolladores de infraestructura blockchain: revelar demasiado pronto puede facilitar ataques, pero comunicar demasiado poco puede dejar expuestos a operadores que no conocen la prioridad de una actualización. La solución exige canales privados verificables, responsables identificados en cada red y criterios claros para informar a validadores cuando una corrección puede comprometer fondos de usuarios.

La crisis no constituye el primer incidente asociado con una red Cosmos EVM. Reportes sobre el antecedente de Saga EVM señalaron pérdidas aproximadas de USD $7 millones, un dato que vuelve más relevante la discusión sobre los controles de seguridad, la respuesta ante vulnerabilidades y la coordinación entre el desarrollador del módulo y los equipos que implementan el código.

Por ahora, Cosmos Labs ha recomendado detener las cadenas afectadas y continúa bajo presión para explicar cómo distribuyó el parche, cuándo notificó a cada operador y qué medidas adoptará para evitar una repetición. Las respuestas a esas preguntas serán determinantes para evaluar si el problema fue una falla puntual de comunicación o una debilidad más amplia en la gobernanza de seguridad de Cosmos EVM.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.