A ICF e a ICL com @asymmetric_re, @_SEAL_Org, @regen_network e @binary_builders publicaram um relatório conjunto sobre um ex-colaborador mal-intencionado dos repositórios Cosmos. O relatório confirmou que não há riscos imediatos ou futuros para a pilha Cosmos.

A investigação identificou o agente mal-intencionado como um engenheiro empregado por ex-fornecedores de manutenção de pilha principal entre 2022 e 2024, antes da formação e aquisição da ICL como desenvolvedora principal da pilha Cosmos. Este incidente foi contido por meio de reformas estruturais. Depois de consolidar o desenvolvimento do Cosmos sob ICL e com o lançamento de extensas atualizações de segurança com @asymmetric_re, incluindo auditorias de acesso, permissões centralizadas, novas auditorias de código e fortalecimento geral das práticas de desenvolvimento e segurança organizacional. Esse endurecimento imediatamente se mostrou útil, pois o ator foi reidentificado como candidato a emprego e rejeitado. Com suporte total de AR, Regen e Binary, todos os commits e binários vinculados foram revisados em profundidade. Nenhum código malicioso ou vetor de ataque foi encontrado. As análises concluíram que quase todo o código do SDK criado por esse ator já havia sido descontinuado ou excluído do roteiro durante a transição pós-reorganização da ICL, especialmente após o cancelamento do SDK v2. No caso da IAVL, nenhum risco ou vulnerabilidade foi encontrado após extensas auditorias independentes de várias partes. Independentemente do fato, a equipe da ICL estará descontinuando completamente a base de código por meio de nosso lançamento já planejado do IAVL v2, que é uma reescrita completa da base de código.

O relatório completo está disponível aqui:

Essas ameaças são constantes em todo o ecossistema Web3. É por isso que é importante compartilhar descobertas para ajudar a melhorar a segurança da linha de base. A ICL implementou o KYC do colaborador, conjuntos de regras do GitHub, remoção de acesso legado e separação de infraestrutura mais forte, entre outras medidas.

A Interchain Labs continuará auditando novamente, revisando e reforçando as defesas em camadas. Para apoiar uma revisão mais ampla, @Hacker0x01 recompensas foram dobradas por um mês para quaisquer problemas válidos vinculados aos commits do colaborador.

Agradecemos à Asymmetric Research, SEAL, Binary e Regen por suas respostas rápidas. A rápida contenção e limpeza deste incidente foi outro bom teste de nossas políticas de segurança recentemente reimplementadas, validando nosso investimento em segurança proativa.