Faille Cosmos EVM : 5,72 millions de dollars issus de six chaînes de blocs et pourquoi trois chaînes ont dû s'arrêter

Si vous détenez des jetons sur une petite chaîne de blocs, vos avoirs dépendent de deux choses : de cette chaîne, et du logiciel qu'elle partage avec beaucoup d'autres. C'est précisément ce qu'a rendu visible le mois d'août. Une faille dans un composant partagé nommé Cosmos EVM a été exploitée sur six chaînes de blocs entre le 20 et le 25 août 2026. Environ 5,72 millions de dollars se sont échappés, trois chaînes ont interrompu leur activité, et Cosmos Labs déclare avoir contacté 40 réseaux. Le 28 août, l'équipe a publié un rapport d'analyse qui décrit ouvertement le déroulement. Cet article expose ce qui s'est passé, pourquoi les montants de préjudice qui circulent divergent à ce point, et ce que vous pouvez vérifier si vous détenez des jetons sur une chaîne concernée.

La faille Cosmos EVM en bref : 5,72 millions de dollars issus de six chaînes

Cosmos EVM est un module logiciel qui dote une chaîne de blocs Cosmos d'un environnement d'exécution compatible avec Ethereum. Un module, en ce sens, est un paquet de code achevé qu'une équipe intègre à sa propre chaîne au lieu d'écrire elle-même la fonction. L'avantage tient à la rapidité. Le prix en est une dépendance commune : une faille dans le module est une faille dans chaque chaîne qui l'emploie.

La vulnérabilité porte l'identifiant GHSA-7g4w-cg88-2cq2 et Cosmos Labs la classe lui-même comme critique. Selon The Hacker News, elle a été publiée sans numéro CVE, sans classification de vulnérabilité et sans score CVSS. Sont concernées les versions inférieures à 0.6.2 ainsi que celles allant de 0.7.0 jusqu'avant 0.7.2 ; le défaut a été corrigé dans les versions v0.6.2 et v0.7.2, parues le 19 août 2026.

N'est pas concerné le Cosmos Hub avec son jeton ATOM, qui fonctionne sans ce module. Si vous en cherchez la page de cours, vous la trouverez dans notre prévision de cours ATOM. Le risque de confusion est réel, puisque le mot Cosmos figure dans le nom des deux choses, et il explique une partie du trouble de la semaine écoulée.

Rapprochement des soldes et débordement : comment fonctionne techniquement la faille Cosmos EVM

Le défaut siège à la jointure entre deux comptabilités. Une chaîne Cosmos tient les soldes dans le module x/bank, tandis que l'environnement Ethereum les tient en parallèle dans sa propre base d'état, la StateDB. Les deux doivent afficher le même montant après chaque transaction, et c'est à ce rapprochement que le mécanisme a coincé.

D'après la description de The Hacker News, le problème survient lorsqu'un compte dit d'acquisition progressive délègue davantage que ne le permet son solde librement disponible. Un compte d'acquisition progressive est une adresse dont les jetons ne sont libérés que selon un calendrier ; une part de l'avoir est bloquée, une part est disponible. Lors de la réécriture consécutive à la délégation, le code soustrayait le montant délégué entier du montant disponible, plus petit, sans vérifier si le résultat pouvait seulement être positif.

Ce qui suit est un classique de l'arithmétique informatique. Si l'on retranche d'un nombre non signé davantage qu'il ne contient, il ne passe pas en négatif mais bascule à l'extrémité haute de sa plage de valeurs. D'un déficit minuscule naît un solde de l'ordre de 2 puissance 256. L'attaquant pouvait ensuite soit retirer des fonds de ce compte en débordement, soit envoyer à un compte tiers un montant calculé de telle sorte que le rapprochement anéantisse l'avoir de ce dernier.

Ce qu'est un module partagé dans une chaîne de blocs

Un module partagé est du code que plusieurs chaînes de blocs indépendantes tirent de la même source et intègrent à leur propre logiciel. Pour vous, détenteur, cela signifie que la question de savoir si votre chaîne est sûre ne se règle pas à la seule réputation de son équipe. Elle dépend aussi des composants extérieurs que cette équipe emploie et de la rapidité avec laquelle elle applique les mises à jour.

Pourquoi les comptes à acquisition progressive ont été la porte d'entrée

Les comptes à acquisition progressive sont répandus dans les jeunes réseaux, car équipes, investisseurs et premiers contributeurs reçoivent habituellement leurs attributions de façon échelonnée. Ils constituent donc un type de compte ordinaire, que tient presque toute nouvelle chaîne, et non un cas marginal. C'est notamment pourquoi Cosmos Labs recommande aux réseaux concernés de refuser provisoirement la création de nouveaux comptes de ce type.

Quatre mois entre le signalement et l'alerte : la chronologie du rapport d'analyse

La succession des faits provient du rapport d'analyse que Cosmos Labs a lui-même publié le 28 août 2026, ainsi que des articles spécialisés qui l'ont exploité. Elle est la véritable raison pour laquelle l'affaire est discutée au-delà du seul incident.

Le 25 avril 2026, le signalement est parvenu par le programme de primes aux bogues. Il a été évalué à l'époque comme ne présentant aucun risque pour les fonds sur les réseaux en production. Le 15 mai, selon CryptoSlate, une correction a été intégrée à la branche principale sous la forme d'un correctif public silencieux, c'est-à-dire sans mention de son caractère critique pour la sécurité. Le 13 août, l'équipe a confirmé en interne que toutes les chaînes Cosmos EVM sont concernées, indépendamment de leur configuration décimale.

Le 19 août sont parues les versions correctives. Le 20 août à 7 h 16 UTC, une première description publique de la voie d'attaque est devenue accessible ; le même jour à 19 h 06 UTC, la première opération non autorisée s'est déroulée sur MANTRA. La première notification privée des chaînes concernées est partie, selon cette reconstitution, le 21 août à 3 h 36 UTC, soit environ deux heures après que MANTRA eut signalé l'incident. L'appel public aux validateurs, les invitant à arrêter leurs chaînes, a suivi le 24 août.

Valeur nominale contre produit de cession : pourquoi les montants du piratage Cosmos EVM divergent

Qui parcourt la couverture médiatique tombe sur des montants allant d'un peu moins de deux à nettement plus de neuf millions de dollars. C'est une question d'unité de mesure et non une contradiction ; la distinction mérite d'être faite, car elle revient dans chaque annonce d'exploit.

La somme fréquemment citée d'environ 5,72 millions de dollars désigne ce que l'attaquant a effectivement transformé en argent : quelque 2,87 millions par des plateformes décentralisées et quelque 2,85 millions par des places de marché centralisées, calculés aux cours du 19 août. Les chiffres nettement supérieurs traduisent en revanche la valeur nominale des jetons partis, au cours antérieur à l'incident.

L'écart naît de la pression vendeuse elle-même. Chez KiiChain, selon le compte rendu de Protos, la chaîne fait état de 148 326 583,15 KII partis, dont la valeur faciale atteignait environ neuf millions de dollars, alors que leur vente a rapporté quelque 1,6 million. Qui lit de telles annonces devrait donc toujours vérifier s'il est question de jetons dérobés ou de fonds réalisés.

MANTRA, KiiChain et TAC : ce qui s'est passé sur les trois chaînes connues

Trois des six réseaux exploités ont été nommés publiquement à ce jour. MANTRA a arrêté sa chaîne le 21 août au bloc 17 449 398 et a repris la production de blocs le 22 août avec la version 8.4.0. Des indications comprises entre 3 h 38 et 5 h 30 UTC circulent quant à l'heure du redémarrage ; nous avons décrit l'opération le 22 août dans notre article consacré à l'arrêt du réseau MANTRA et au retrait bloqué, en retenant la première de ces deux valeurs. L'équipe a déclaré que les soldes des utilisateurs n'avaient pas été modifiés et que deux adresses placées sous son propre contrôle étaient concernées. CryptoSlate chiffre en revanche le volet MANTRA de l'incident à quelque 3,6 millions de dollars de valeur nominale pour 720,9 millions de jetons. Les deux indications coexistent, et nous ne les lissons pas.

KiiChain s'est arrêtée au bloc 9 355 723. Selon sa propre présentation, la même technique y a été appliquée dix-huit fois de suite. TAC s'est arrêtée le 22 août au bloc 24 671 475, d'après l'équipe après qu'un compte eut été vidé. Dans les deux cas, les équipes ont imputé la cause au code Cosmos EVM partagé et non à leur propre logique.

Au-delà des trois chaînes citées, Cosmos Labs a indiqué que 13 autres chaînes potentiellement concernées ont été mises à jour, arrêtées ou sécurisées avant qu'une attaque ne survienne. Onze installations du module étaient totalement inconnues de l'équipe avant l'incident et n'ont été découvertes qu'au fil du travail de reconstitution.

L'arrêt de chaîne comme frein d'urgence : pourquoi Cosmos Labs a conseillé aux validateurs de s'arrêter

Un arrêt de chaîne signifie que les validateurs cessent de produire des blocs ; le réseau ne traite plus aucune transaction jusqu'à un redémarrage coordonné. Vu de l'extérieur, cela ressemble à une perte de contrôle. En l'espèce, c'était le choix prudent.

La raison tient à l'ordre des choses. Une mise à jour ordinaire du réseau par un vote de gouvernance demande des heures, voire des jours, et pendant ce temps la faille resterait ouverte alors que la voie d'attaque était déjà décrite publiquement. Cosmos Labs a donc conseillé aux opérateurs de passer sans délai aux versions v0.6.2, v0.7.2 ou ultérieures et, si cela n'était pas immédiatement possible, d'arrêter la production de blocs plutôt que de tenter un vote coordonné. L'équipe a en outre recommandé de refuser la création de comptes à acquisition progressive dans le gestionnaire préalable, de vérifier la correction dans les chemins de code exportés comme non exportés, et de déclarer un contact de sécurité.

Pour vous, détenteur, il en découle une conséquence pratique aisément négligée : une chaîne arrêtée est un signal d'alarme sur l'état du logiciel, mais elle ne constitue pas automatiquement un signal sur l'état de votre compte. La question de savoir si vos avoirs ont été modifiés relève d'un autre registre que celle de savoir si des blocs sont actuellement produits.

Correctif silencieux et prime aux bogues : ce que l'affaire révèle des procédures de divulgation

L'erreur de programmation elle-même ne fait pas débat parmi les parties concernées. Ce qui est discuté, c'est l'ordre dans lequel elle a été rendue publique. Un correctif silencieux est la pratique courante consistant à déployer une correction discrètement, afin que les attaquants n'apprennent pas de l'annonce elle-même où porter leur coup. Cette pratique ne fonctionne qu'à une condition : les opérateurs qui exécutent ce code doivent savoir au préalable qu'il leur faut agir.

KiiChain a formulé ce point avec netteté dans son propre rapport d'analyse. Publier ouvertement une correction de sécurité avant que les chaînes exécutant ce code aient été informées en privé et disposent du temps nécessaire pour se mettre à jour revient, selon elle, à transmettre la vulnérabilité à quiconque lit le commit. La chaîne a désigné comme causes l'absence d'information préalable, le défaut de signalement du caractère critique et le retard dans la communication. Il s'agit du jugement de valeur d'une partie touchée, et nous le restituons comme tel.

Cosmos Labs renvoie, dans ses propres règles de prime, à l'engagement de mesures d'urgence en cas de risque immédiat ou touchant l'ensemble du réseau. Le rapport d'analyse décrit qu'a été retenue à la place la voie ordinaire, prévue pour les cas sans perte de fonds. La manière dont cette appréciation s'est formée constitue la question ouverte que soulève le document, et elle ne peut être tranchée de l'extérieur. Le déroulement est établi ; l'appréciation demeure l'affaire des équipes concernées.

Ce que les détenteurs de jetons concernés devraient vérifier maintenant

Si vous détenez des OM, des KII, des TAC ou un autre jeton sur une chaîne Cosmos EVM, il s'agit d'abord d'y voir clair sur l'état des choses, non de réagir vite sur le marché. Dans l'ordre.

Vérifiez en premier lieu l'état du réseau. Un explorateur de blocs public de la chaîne concernée vous montre si la hauteur de bloc progresse encore ou si elle reste figée sur une valeur. Si elle est à l'arrêt, la chaîne ne produit pas de blocs, et aucune transaction n'est confirmée pendant ce temps.

Vérifiez en deuxième lieu la version sur laquelle tourne votre chaîne, et si l'équipe a annoncé un redémarrage sur l'une des versions corrigées. Les équipes le publient habituellement sur leur page d'état ou par leurs canaux officiels. L'absence d'une telle indication constitue en soi une information.

Vérifiez en troisième lieu, et indépendamment de ce qui précède, si votre place de marché a rouvert les dépôts et les retraits pour le jeton concerné. Ces deux états sont liés sans être identiques, et c'est précisément là que échouent la plupart des appréciations erronées. Si vous voulez disposer de vos avoirs indépendamment d'une plateforme, la voie passe par la conservation autonome ; quels appareils entrent en ligne de compte, notre comparatif des portefeuilles matériels le montre.

Trois états qu'il faut distinguer

Le premier état concerne la chaîne : produit-elle des blocs ? Le deuxième concerne vos avoirs : votre adresse porte-t-elle encore le montant attendu ? Le troisième concerne la place de marché : pouvez-vous déposer et retirer ? Une chaîne en fonctionnement avec un retrait bloqué sur la plateforme est une combinaison courante, car les places de marché décident seules, après un incident, du moment où elles rouvrent leur passerelle. À l'inverse, une chaîne arrêtée peut porter des avoirs inchangés.

Comment reconnaître qu'une chaîne de blocs dépend d'un composant partagé

Cette question, vous pouvez la trancher avant l'achat, et elle demande quelques minutes. Le premier indice est la documentation de la chaîne : s'il y est écrit qu'elle repose sur un cadriciel tel que le Cosmos SDK et qu'elle tire sa compatibilité EVM d'un module, elle partage du code avec d'autres réseaux.

Le deuxième indice est le dépôt de code public. Les chaînes de blocs publient en règle générale leur logiciel de façon ouverte, et les fichiers de dépendances indiquent nommément quels paquets extérieurs sont intégrés et dans quelle version. Vous n'avez pas besoin de savoir lire le code ; il suffit de voir le numéro de version et de le comparer à celui actuellement recommandé.

Le troisième indice est la voie de communication. La chaîne dispose-t-elle d'une page d'état, d'un contact de sécurité et d'un historique d'incidents antérieurs assorti d'un travail de reconstitution ? Le cas présent montre tout ce qui en dépend : onze installations du module n'étaient même pas connues de l'éditeur, ce qui signifie qu'il n'aurait pas pu davantage avertir leurs opérateurs en cas d'urgence. La description technique de la faille se lit dans l'avis de sécurité GHSA-7g4w-cg88-2cq2, et la mise en perspective de la chronologie dans la reconstitution de The Hacker News.

Fiscalité et preuves : ce qu'il faut documenter après un arrêt de chaîne

Un arrêt de réseau n'est d'abord pas un fait générateur sur le plan fiscal. Tant que rien ne change à vos avoirs, il ne naît ni cession ni perte que vous pourriez faire valoir. La question ne devient intéressante que si vous vendez effectivement en réaction à l'incident, ou si des jetons disparaissent de votre adresse.

Concrètement : mettez dès maintenant les justificatifs à l'abri, tant qu'ils restent accessibles. En font partie les captures d'écran de votre solde avec date et heure, les identifiants des transactions concernées, le message d'état de votre plateforme sur la passerelle bloquée et la communication publique de l'équipe. Si vous soldez plus tard une position à perte, ou s'il vous faut expliquer à l'administration fiscale pourquoi un avoir n'existe plus, la force probante ne vaudra que ce que vous aurez consigné au moment de l'incident.

Une précision, car la question revient régulièrement : la déductibilité fiscale d'un avoir perdu par un exploit dépend du cas d'espèce et n'est pas tranchée de façon générale. Cette appréciation ne remplace pas un conseil fiscal, et nous n'affirmons ici aucun état du droit qui n'existerait pas.

Vérifier la faille Cosmos EVM : ce qu'il faut en retenir

L'affaire est moins l'histoire d'une faille isolée que celle des dépendances communes et de la vitesse à laquelle une information atteint ses destinataires. Trois gestes à en tirer :

1. Vérifiez séparément l'état de votre chaîne et celui de votre plateforme. Hauteur de bloc dans l'explorateur, avoirs à votre adresse, état de la passerelle chez la place de marché : trois affichages qui mesurent des choses différentes. Si vous constatez à cette occasion que votre prestataire communique mal après un incident, notre panorama des plateformes crypto réglementées vous aide à situer les choses.
2. Avant votre prochain achat, regardez quels composants extérieurs une chaîne emploie. Le cadriciel, la version du module et un contact de sécurité déclaré en disent davantage sur la solidité d'un réseau que ses annonces. Pour la conservation hors plateforme, vous trouverez les options dans le comparatif des portefeuilles logiciels.
3. Gardez hors du pouvoir de disposition d'autrui les avoirs que vous ne négociez pas activement. Une passerelle bloquée ne frappe que ce qui s'y trouve. Quels appareils conviennent et ce qui les distingue, le comparatif des portefeuilles matériels l'expose.

(Au 29 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)