Cosmos-EVM-Schwachstelle: 5,72 Millionen Dollar aus sechs Blockchains und warum drei Ketten anhalten mussten

Wenn du Token auf einer kleineren Blockchain hältst, hängt dein Guthaben an zwei Dingen: an dieser Blockchain und an der Software, die sie mit vielen anderen teilt. Genau das ist im August sichtbar geworden: Ein Fehler in einem gemeinsam genutzten Baustein namens Cosmos EVM wurde zwischen dem 20. und dem 25. August 2026 auf sechs Blockchains ausgenutzt. Rund 5,72 Millionen US-Dollar flossen ab, drei Ketten hielten ihren Betrieb an, und Cosmos Labs kontaktierte nach eigenen Angaben 40 Netzwerke. Am 28. August legte das Team ein Post-Mortem vor, das den Ablauf offen beschreibt. Dieser Artikel ordnet ein, was passiert ist, warum die kursierenden Schadenszahlen so weit auseinandergehen und was du prüfen kannst, wenn du Token auf einer betroffenen Kette hältst.

Cosmos-EVM-Schwachstelle im Überblick: 5,72 Millionen Dollar aus sechs Ketten

Cosmos EVM ist ein Software-Modul, das eine Cosmos-Blockchain um eine Ethereum-kompatible Ausführungsumgebung erweitert. Ein Modul in diesem Sinn ist ein fertiges Codepaket, das ein Chain-Team in die eigene Blockchain einbaut, statt die Funktion selbst zu schreiben. Der Vorteil ist Tempo. Der Preis ist eine gemeinsame Abhängigkeit: Ein Fehler im Modul ist ein Fehler in jeder Kette, die es einsetzt.

Die Schwachstelle trägt die Kennung GHSA-7g4w-cg88-2cq2 und wird von Cosmos Labs selbst als kritisch eingestuft. Veröffentlicht wurde sie nach Darstellung von The Hacker News ohne CVE-Nummer, ohne Schwachstellenklassifizierung und ohne CVSS-Wert. Betroffen sind die Versionen kleiner 0.6.2 sowie ab 0.7.0 bis vor 0.7.2; behoben wurde der Fehler in v0.6.2 und v0.7.2, die am 19. August 2026 erschienen.

Nicht betroffen ist der Cosmos Hub mit seinem Token ATOM, der ohne dieses Modul läuft. Wer die Kursseite dazu sucht, findet sie in unserer ATOM Kurs-Prognose. Die Verwechslungsgefahr ist real, weil im Namen beider Dinge das Wort Cosmos steht, und sie erklärt einen Teil der Verunsicherung der vergangenen Woche.

Bilanzabgleich und Überlauf: Wie die Cosmos-EVM-Lücke technisch funktioniert

Der Fehler sitzt an der Nahtstelle zwischen zwei Buchhaltungen. Eine Cosmos-Blockchain führt Guthaben im Modul x/bank, die Ethereum-Umgebung führt sie parallel in einer eigenen Zustandsdatenbank, der StateDB. Beide müssen nach jeder Transaktion denselben Stand zeigen, und dieser Abgleich ist die Stelle, an der es klemmte.

Nach der Beschreibung von The Hacker News entsteht das Problem, wenn ein sogenanntes Vesting-Konto mehr delegiert, als sein frei verfügbares Guthaben hergibt. Ein Vesting-Konto ist eine Adresse, deren Token erst nach einem Zeitplan freigegeben werden; ein Teil des Bestands ist gesperrt, ein Teil ist verfügbar. Beim Zurückschreiben nach der Delegation zog der Code den vollen delegierten Betrag vom kleineren verfügbaren Betrag ab, ohne zu prüfen, ob das Ergebnis überhaupt positiv sein kann.

Was dann folgt, ist ein Klassiker der Computerarithmetik. Zieht man von einer vorzeichenlosen Zahl mehr ab, als sie enthält, läuft sie nicht ins Minus, sondern springt an das obere Ende ihres Wertebereichs. Aus einem winzigen Fehlbetrag wird ein Guthaben in der Größenordnung von 2 hoch 256. Der Angreifer konnte anschließend entweder von diesem übergelaufenen Konto Mittel abziehen oder einem fremden Konto einen so bemessenen Betrag schicken, dass der Abgleich dessen Bestand vernichtete.

Was ein geteiltes Modul in einer Blockchain ist

Ein geteiltes Modul ist Programmcode, den mehrere unabhängige Blockchains aus derselben Quelle beziehen und in ihre eigene Software einbauen. Für dich als Halter heißt das: Die Frage, ob deine Kette sicher ist, lässt sich nicht allein aus dem Ruf ihres Teams beantworten. Sie hängt auch daran, welche fremden Bausteine dieses Team einsetzt und wie schnell es Aktualisierungen einspielt.

Warum Vesting-Konten der Einstieg waren

Vesting-Konten sind in jungen Netzwerken weit verbreitet, weil Teams, Investoren und frühe Beitragende ihre Zuteilungen üblicherweise gestaffelt erhalten. Sie sind damit ein regulärer Kontotyp, den fast jede neue Kette führt, und kein Sonderfall am Rand. Cosmos Labs empfiehlt betroffenen Netzwerken deshalb unter anderem, die Erzeugung neuer Vesting-Konten vorübergehend abzulehnen.

Vier Monate zwischen Meldung und Alarm: Die Zeitleiste aus dem Post-Mortem

Die Abfolge stammt aus dem Post-Mortem, das Cosmos Labs am 28. August 2026 selbst veröffentlicht hat, und aus den Berichten der Fachmedien, die es ausgewertet haben. Sie ist der eigentliche Grund, warum der Fall über den Einzelvorgang hinaus diskutiert wird.

Am 25. April 2026 ging der Hinweis über das Bug-Bounty-Programm ein. Bewertet wurde er damals so, dass er für Mittel auf produktiven Netzwerken kein Risiko darstelle. Am 15. Mai floss nach Darstellung von CryptoSlate eine Korrektur als stiller öffentlicher Patch in den Hauptzweig ein, also ohne Kennzeichnung als sicherheitskritisch. Am 13. August bestätigte das Team intern, dass alle Cosmos-EVM-Ketten betroffen sind, unabhängig von ihrer Dezimalkonfiguration.

Am 19. August erschienen die Korrekturversionen. Am 20. August um 07:16 UTC wurde eine erste öffentliche Beschreibung des Angriffswegs zugänglich; am selben Tag um 19:06 UTC lief der erste unautorisierte Vorgang auf MANTRA. Die erste private Benachrichtigung betroffener Ketten ging nach dieser Rekonstruktion am 21. August um 03:36 UTC hinaus, rund zwei Stunden nachdem MANTRA den Vorfall gemeldet hatte. Der öffentliche Aufruf an die Validatoren, ihre Ketten anzuhalten, folgte am 24. August.

Nominalwert gegen Erlös: Warum die Schadenszahlen zum Cosmos-EVM-Hack auseinandergehen

Wer sich durch die Berichterstattung liest, stößt auf Beträge zwischen knapp zwei und deutlich über neun Millionen Dollar. Das ist eine Frage der Messgröße und kein Widerspruch; die Unterscheidung lohnt sich, weil sie in jeder Exploit-Meldung wiederkehrt.

Die häufig genannte Summe von rund 5,72 Millionen US-Dollar bezieht sich auf das, was der Angreifer tatsächlich zu Geld gemacht hat: etwa 2,87 Millionen über dezentrale Börsen und etwa 2,85 Millionen über zentrale Handelsplätze, gerechnet zu den Kursen vom 19. August. Die deutlich höheren Zahlen bilden dagegen den Nominalwert der abgeflossenen Token zum Kurs vor dem Vorfall ab.

Der Unterschied entsteht durch den Verkaufsdruck selbst. Bei KiiChain nennt die Chain nach dem Bericht von Protos 148.326.583,15 abgeflossene KII, deren Nennwert bei rund neun Millionen Dollar lag, während der Verkauf davon etwa 1,6 Millionen einbrachte. Wer solche Meldungen liest, sollte deshalb immer nachsehen, ob von entwendeten Token oder von erlösten Mitteln die Rede ist.

MANTRA, KiiChain und TAC: Was auf den drei bekannten Ketten passiert ist

Öffentlich benannt sind bislang drei der sechs ausgenutzten Netzwerke. MANTRA hielt seine Kette am 21. August bei Block 17.449.398 an und nahm die Blockproduktion am 22. August mit der Version 8.4.0 wieder auf. Für den Zeitpunkt des Neustarts kursieren Angaben zwischen 03:38 und 05:30 UTC; wir haben den Vorgang am 22. August in unserem Bericht zum MANTRA-Netzwerkstopp und der gesperrten Auszahlung mit dem früheren dieser beiden Werte beschrieben. Das Team erklärte, dass Nutzerguthaben nicht verändert wurden und zwei Adressen unter eigener Kontrolle betroffen waren. CryptoSlate beziffert die MANTRA-Seite des Vorfalls dagegen mit rund 3,6 Millionen Dollar Nominalwert bei 720,9 Millionen Token. Beide Angaben stehen nebeneinander, und wir glätten sie nicht.

KiiChain hielt bei Block 9.355.723 an. Nach eigener Darstellung wurde dort dieselbe Technik achtzehnmal hintereinander angewendet. TAC stoppte am 22. August bei Block 24.671.475, nach Angaben des Teams nachdem ein Konto geleert worden war. In beiden Fällen führten die Chain-Teams die Ursache auf den geteilten Cosmos-EVM-Code zurück und nicht auf eigene Logik.

Über die drei genannten hinaus meldete Cosmos Labs, dass 13 weitere potenziell betroffene Ketten aktualisiert, angehalten oder abgesichert wurden, bevor es zu einem Angriff kam. Elf Installationen des Moduls waren dem Team vor dem Vorfall überhaupt nicht bekannt und wurden erst im Zuge der Aufarbeitung gefunden.

Chain-Stopp als Notbremse: Warum Cosmos Labs zum Anhalten der Validatoren geraten hat

Ein Chain Halt bedeutet, dass die Validatoren die Blockproduktion einstellen; das Netzwerk verarbeitet keine Transaktionen mehr, bis es koordiniert neu startet. Für Außenstehende sieht das nach Kontrollverlust aus. In diesem Fall war es die konservative Wahl.

Der Grund liegt in der Reihenfolge. Ein regulärer Netzwerk-Upgrade über eine Governance-Abstimmung dauert Stunden bis Tage, und in dieser Zeit bliebe die Lücke offen, während der Angriffsweg bereits öffentlich beschrieben war. Cosmos Labs riet Betreibern deshalb, sofort auf v0.6.2, v0.7.2 oder neuer zu aktualisieren, und falls das nicht unmittelbar möglich sei, die Blockproduktion anzuhalten, statt eine koordinierte Abstimmung zu versuchen. Ergänzend empfahl das Team, die Erzeugung von Vesting-Konten im Ante-Handler abzulehnen, die Korrektur in exportierten wie nicht exportierten Codepfaden zu überprüfen und einen Sicherheitskontakt zu hinterlegen.

Für dich als Halter hat das eine praktische Folge, die leicht untergeht: Eine angehaltene Kette ist ein Warnsignal über den Zustand der Software, aber sie ist nicht automatisch ein Signal über deinen Kontostand. Ob dein Guthaben verändert wurde, steht auf einem anderen Blatt als die Frage, ob gerade Blöcke produziert werden.

Stiller Patch und Bug Bounty: Was der Fall über Offenlegungsprozesse zeigt

Der Programmierfehler selbst ist unter den Beteiligten unstrittig. Diskutiert wird die Reihenfolge, in der er öffentlich gemacht wurde. Ein stiller Patch ist die gängige Praxis, eine Korrektur unauffällig einzuspielen, damit Angreifer nicht aus der Meldung selbst lernen, wo sie ansetzen müssen. Diese Praxis funktioniert nur unter einer Bedingung: Die Betreiber, die den Code einsetzen, müssen vorher wissen, dass sie handeln müssen.

KiiChain hat diesen Punkt in seinem eigenen Post-Mortem deutlich formuliert. Wer eine Sicherheitskorrektur offen veröffentliche, bevor die Ketten, die diesen Code ausführen, privat informiert und mit Zeit zum Aktualisieren versehen wurden, reiche die Schwachstelle an jeden weiter, der den Commit lese. Als Ursachen benannte die Chain fehlende Vorabinformation, die unterbliebene Kennzeichnung als kritisch und die Verzögerung in der Kommunikation. Das ist ein Werturteil eines Betroffenen, und wir geben es als solches wieder.

Cosmos Labs verweist in seinen eigenen Bounty-Regeln darauf, bei unmittelbarem oder netzwerkweitem Risiko Notfallmaßnahmen einzuleiten. Das Post-Mortem beschreibt, dass stattdessen der Standardweg für Fälle ohne Mittelverlust gewählt wurde. Wie diese Einschätzung zustande kam, ist die offene Frage, die das Dokument aufwirft und die von außen nicht abschließend zu beurteilen ist. Belegt ist der Ablauf; die Bewertung bleibt Sache der beteiligten Teams.

Was Halter betroffener Token jetzt konkret prüfen sollten

Wenn du OM, KII, TAC oder einen anderen Token auf einer Cosmos-EVM-Kette hältst, geht es zuerst um Klarheit über den Zustand, nicht um schnelle Reaktionen am Markt. Der Reihe nach.

Prüfe im ersten Schritt den Netzwerkstatus. Ein öffentlicher Block-Explorer der jeweiligen Kette zeigt dir, ob die Blockhöhe noch steigt oder auf einem Wert stehen bleibt. Steht sie still, produziert die Kette keine Blöcke, und keine Transaktion wird in dieser Zeit bestätigt.

Prüfe im zweiten Schritt die Version, auf der deine Kette läuft, und ob das Team einen Neustart auf einer der korrigierten Fassungen angekündigt hat. Chain-Teams veröffentlichen das üblicherweise über ihre Statusseite oder ihre offiziellen Kanäle. Fehlt eine solche Angabe, ist das für sich genommen eine Information.

Prüfe im dritten Schritt getrennt davon, ob dein Handelsplatz Ein- und Auszahlungen für den betroffenen Token freigegeben hat. Diese beiden Zustände hängen zusammen, sind aber nicht dasselbe, und genau daran scheitern die meisten Fehleinschätzungen. Wenn du dein Guthaben unabhängig von einer Börse verfügbar halten willst, führt der Weg über Selbstverwahrung; welche Geräte dafür infrage kommen, zeigt unser Vergleich der Krypto-Hardware-Wallets.

Drei Zustände, die du auseinanderhalten musst

Der erste Zustand betrifft die Kette: Produziert sie Blöcke? Der zweite betrifft dein Guthaben: Steht auf deiner Adresse noch der Betrag, den du erwartest? Der dritte betrifft den Handelsplatz: Kannst du ein- und auszahlen? Eine laufende Kette bei gesperrter Börsen-Auszahlung ist eine übliche Kombination, weil Handelsplätze nach einem Vorfall eigenständig entscheiden, wann sie ihr Gateway wieder öffnen. Umgekehrt kann eine angehaltene Kette unveränderte Guthaben tragen.

Wie du erkennst, ob eine Blockchain an einem geteilten Baustein hängt

Diese Frage kannst du vor dem Kauf klären, und sie kostet wenige Minuten. Der erste Anhaltspunkt ist die Dokumentation der Kette: Steht dort, dass sie auf einem Framework wie dem Cosmos SDK aufsetzt und eine EVM-Kompatibilität über ein Modul bezieht, teilt sie Code mit anderen Netzwerken.

Der zweite Anhaltspunkt ist das öffentliche Code-Verzeichnis. Blockchains veröffentlichen ihre Software in aller Regel offen, und in den Abhängigkeitsdateien steht namentlich, welche fremden Pakete in welcher Version eingebunden sind. Du musst den Code nicht lesen können; es reicht, die Versionsnummer zu sehen und sie mit der aktuell empfohlenen zu vergleichen.

Der dritte Anhaltspunkt ist der Kommunikationsweg. Hat die Kette eine Statusseite, einen Sicherheitskontakt und eine Historie früherer Vorfälle mit Aufarbeitung? Der aktuelle Fall zeigt, wie viel davon abhängt: Elf Installationen des Moduls waren dem Herausgeber nicht einmal bekannt, was bedeutet, dass er ihre Betreiber im Ernstfall auch nicht warnen konnte. Die technische Beschreibung der Lücke ist in der Sicherheitsmeldung GHSA-7g4w-cg88-2cq2 nachzulesen, die Einordnung der Zeitleiste in der Rekonstruktion von The Hacker News.

Steuer und Nachweis: Was du nach einem Chain-Stopp dokumentieren solltest

Ein Netzwerkstopp ist steuerlich zunächst kein Vorgang. Solange sich an deinem Bestand nichts ändert, entsteht weder ein Veräußerungsgeschäft noch ein Verlust, den du geltend machen könntest. Interessant wird es erst, wenn du in Reaktion auf den Vorfall tatsächlich verkaufst oder wenn Token von deiner Adresse verschwinden.

Praktisch heißt das: Sichere dir jetzt die Belege, solange sie greifbar sind. Dazu gehören Bildschirmaufnahmen deines Kontostands mit Datum und Uhrzeit, die Transaktionskennungen der betroffenen Vorgänge, die Statusmeldung deiner Börse zum gesperrten Gateway und die öffentliche Mitteilung des Chain-Teams. Wenn du später eine Position mit Verlust auflöst oder gegenüber dem Finanzamt erklären musst, warum ein Bestand nicht mehr existiert, ist die Beweislage nur so gut wie das, was du im Moment des Vorfalls festgehalten hast.

Ein Hinweis zur Einordnung, weil die Frage regelmäßig kommt: Ob ein durch einen Exploit verlorener Bestand steuerlich abzugsfähig ist, hängt vom Einzelfall ab und ist in Deutschland nicht pauschal geklärt. Diese Einschätzung ersetzt keine steuerliche Beratung, und wir behaupten hier keine Rechtslage, die es so nicht gibt.

Cosmos-EVM-Schwachstelle prüfen: Was du daraus mitnimmst

Der Fall ist weniger eine Geschichte über einen einzelnen Fehler als eine über gemeinsame Abhängigkeiten und darüber, wie schnell eine Information ihre Empfänger erreicht. Drei Schritte, die du daraus ableiten kannst:

1. Prüfe den Zustand deiner Kette und deiner Börse getrennt voneinander. Blockhöhe im Explorer, Guthaben auf deiner Adresse, Gateway-Status beim Handelsplatz sind drei Anzeigen, die unterschiedliche Dinge messen. Wenn dir dabei auffällt, dass dein Anbieter nach Vorfällen schlecht kommuniziert, hilft dir der Überblick über regulierte Krypto-Börsen bei der Einordnung.
2. Sieh vor dem nächsten Kauf nach, welche fremden Bausteine eine Kette einsetzt. Framework, Modulversion und ein hinterlegter Sicherheitskontakt sagen mehr über die Belastbarkeit eines Netzwerks aus als seine Ankündigungen. Für die Aufbewahrung außerhalb einer Börse findest du die Optionen im Vergleich der Software-Wallets.
3. Halte Bestände, die du nicht aktiv handelst, außerhalb fremder Verfügungsgewalt. Ein gesperrtes Börsen-Gateway trifft nur das, was dort liegt. Welche Geräte dafür taugen und was sie unterscheidet, steht im Hardware-Wallet-Vergleich.

(Stand: 29. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)