ICF 和 ICL 与 @asymmetric_re, @_SEAL_Org, @regen_network 和 @binary_builders 发布了一份关于 Cosmos 仓库中一名前恶意贡献者的联合报告。 报告确认 Cosmos 堆栈没有立即或未来的风险。

调查确定恶意行为者是一名在2022年至2024年期间受雇于前核心堆栈维护供应商的工程师，此前ICL作为核心Cosmos堆栈开发者的形成和接管。 这一事件通过结构改革得以控制。在将Cosmos开发整合到ICL之后，并与@asymmetric_re一起推出了广泛的安全升级，包括访问审计、集中权限、代码重新审计以及开发和组织安全实践的一般强化。这种强化立即证明是有用的，因为该行为者被重新识别为求职者并被拒绝。 在AR、Regen和Binary的全力支持下，所有相关的提交和二进制文件都进行了深入审查。 未发现恶意代码或攻击向量。审查得出的结论是，这名行为者所创作的几乎所有SDK代码在ICL的重组过渡期间已经被弃用或排除在路线图之外，特别是在SDK v2被取消之后。 在IAVL的情况下，经过广泛的多方独立审计后，未发现风险或漏洞。尽管如此，ICL团队将通过我们已经计划的IAVL v2发布完全弃用该代码库，IAVL v2是对代码库的全面重写。

完整报告可在此处查看：

这些威胁在Web3生态系统中是持续存在的。这就是为什么分享发现以帮助改善基础安全性是重要的。 ICL实施了贡献者KYC、GitHub规则集、移除遗留访问权限以及更强的基础设施分离等措施。

Interchain Labs 将继续重新审计、重新评审并加强分层防御。 为了支持更广泛的审查，@Hacker0x01 的赏金在一个月内翻倍，适用于与贡献者的提交相关的任何有效问题。

我们感谢Asymmetric Research、SEAL、Binary和Regen的快速回应。 此次事件的快速控制和清理是我们最近重新实施的安全政策的又一次良好测试，验证了我们在主动安全方面的投资。