ICF och ICL har tillsammans med @asymmetric_re, @_SEAL_Org, @regen_network och @binary_builders publicerat en gemensam rapport om en tidigare illvillig bidragsgivare till Cosmos-lagringsplatser. Rapporten bekräftade att det inte finns några omedelbara eller framtida risker för Cosmos-stacken.

Utredningen identifierade den illvilliga aktören som en ingenjör som var anställd av tidigare leverantörer av core-stackunderhåll mellan 2022 och 2024, innan ICL bildades och tog över som utvecklare av Cosmos core-stack. Denna incident begränsades genom strukturreformer. Efter att ha konsoliderat Cosmos-utvecklingen under ICL och med lanseringen av omfattande säkerhetsuppgraderingar med @asymmetric_re, inklusive åtkomstgranskningar, centraliserade behörigheter, omrevisioner av kod och allmän härdning av utvecklings- och organisationssäkerhetspraxis. Denna skärpning visade sig omedelbart vara användbar, eftersom skådespelaren identifierades på nytt som en arbetssökande och avvisades. Med fullt stöd från AR, Regen och Binary granskades alla länkade incheckningar och binärfiler på djupet. Ingen skadlig kod eller attackvektorer hittades. Granskningar visade att nästan all SDK-kod som skapats av den här aktören redan hade blivit inaktuell eller utesluten från översikten under ICL:s övergång efter omorganisationen, särskilt efter att SDK v2 avbröts. När det gäller IAVL hittades inga risker eller sårbarheter efter omfattande oberoende granskningar från flera parter. Oavsett faktum kommer ICL-teamet att helt fasa ut kodbasen genom vår redan planerade version av IAVL v2, som är en fullständig omskrivning av kodbasen.

Hela rapporten finns tillgänglig här:

Dessa hot är konstanta i hela Web3-ekosystemet. Därför är det viktigt att dela med sig av resultat för att förbättra baslinjesäkerheten. ICL implementerade bland annat KYC för bidragsgivare, GitHub-regeluppsättningar, borttagning av äldre åtkomst och starkare infrastrukturseparation.

Interchain Labs kommer att fortsätta att granska, granska och förstärka skiktade försvar. För att stödja en bredare granskning har @Hacker0x01 belöningar fördubblats under en månad för alla giltiga problem som är kopplade till bidragsgivarens åtaganden.

Vi tackar Asymmetric Research, SEAL, Binary och Regen för deras snabba svar. Den snabba begränsningen och rensningen av den här incidenten var ytterligare ett bra test av våra nyligen återimplementerade säkerhetspolicyer, vilket validerar vår investering i proaktiv säkerhet.