六链共用代码漏洞引发572万美元资产流失

2026年8月20日至25日，一个名为Cosmos EVM的共享执行环境模块中存在严重缺陷，被攻击者在六条独立区块链上成功利用。此次事件造成总计约572万美元的实际变现损失，三条链被迫暂停运营，另有13条链在攻击前已完成修复或加固。该漏洞影响范围广泛，反映出多链依赖同一底层组件所带来的系统性风险。

共享执行层缺陷暴露：模块化架构的双刃剑

Cosmos EVM作为一套可集成的以太坊兼容执行环境，允许各区块链快速部署智能合约功能而无需从零开发。然而，这种便利性以共享依赖为代价——一旦核心模块出现漏洞，所有使用它的链均面临同等威胁。该漏洞编号为GHSA-7g4w-cg88-2cq2，被评定为严重级别，但发布时未附带CVE编号与CVSS评分，增加了外部识别难度。

余额对账机制失效：溢出攻击的技术根源

问题源于两套账本系统的数据同步失衡。在Cosmos链的x/bank模块与EVM状态数据库之间，需确保余额一致性。当归属账户（即分阶段释放代币的地址）委托金额超过其可用额度时，系统未验证减法结果是否非负，直接执行无符号整数运算。这导致数值回绕至2的256次方量级，形成巨额虚假余额，攻击者借此提取资金或摧毁目标账户余额。

跨链依赖结构的隐性风险

所谓共享模块是指多个独立区块链从同一代码源引入并集成的功能单元。对于持币人而言，链的安全性不仅取决于自身团队的能力，更依赖于其对外部组件的更新响应速度与依赖管理能力。若未及时升级，即使链本身逻辑健全，仍可能因上游漏洞遭殃。

归属账户为何成为突破口

归属账户是新项目常见的分配机制，用于控制团队、投资者和早期贡献者的代币释放节奏。由于其普遍性，此类账户在多数新兴链中普遍存在，而非特殊例外。这也解释了为何该漏洞能广泛传播——攻击者只需针对这一常见模式进行自动化尝试即可实现大规模渗透。

从赏金报告到公开警报：四个月时间线揭示披露滞后

漏洞于2026年4月25日通过赏金计划提交，初期评估认为不构成生产环境风险。5月15日，修复补丁以静默方式合并至主分支，但未标记为安全关键。直至8月13日，团队才确认所有运行该模块的链均受影响。8月19日修复版本发布后，首个攻击路径于8月20日曝光，首笔非法操作发生在同日19:06 UTC。随后，链团队陆续收到通知并启动应急措施。

名义价值与实际收益之间的巨大落差

媒体报道中的损失金额差异显著，部分高达900万美元，实则源于衡量标准不同。约572万美元为攻击者实际变现总额（去中心化交易所287万，中心化平台285万），而更高数字反映的是被盗代币在事件前的市场估值。例如，KiiChain称有1.48亿枚代币被盗，名义价值约900万，但卖出后仅获160万，凸显卖压对价格的剧烈冲击。

三链案例：MANTRA、KiiChain与TAC的应对实录

MANTRA链于8月21日区块17,449,398处暂停，8月22日以v8.4.0版本重启，期间用户余额未受影响，仅两个受控地址被波及。KiiChain在同一技术下遭遇十八次重复攻击，区块9,355,723处暂停。TAC链于8月22日区块24,671,475处暂停，团队确认一账户被清空。三者均将问题归因于共享代码缺陷，非自身逻辑错误。

链暂停：防御优先于正常运行

链暂停意味着验证者停止生成新区块，网络进入静默状态，不再处理交易。此举虽看似异常，实则是防止攻击扩散的最优策略。因常规升级需数小时至数天，而漏洞信息已公开，故建议立即更新至修复版本或暂时停机。此外，团队还建议在代码中禁用归属账户创建，并在导出与未导出路径中双重校验修复。

静默修补与信息披露的争议焦点

静默补丁旨在避免攻击者从公告中获取线索，但前提是运营者已知需采取行动。KiiChain指出，若未提前通知便公开修复，等于将漏洞暴露给所有查看提交记录的人。本次事件中，修复未标为关键，沟通延迟明显，导致部分链未能及时响应。尽管事后分析表明评估基于当时信息，但流程透明度仍受质疑。

持币者应立即执行的三项核查动作

若您持有OM、KII、TAC等受波及链代币，首要任务是核实现状而非仓促交易。第一，通过公共区块浏览器检查链是否仍在出块；第二，确认链运行版本及团队是否宣布重启；第三，单独验证交易平台是否恢复充值与提现功能，二者并非同一状态。

三种独立状态必须区分清楚

第一，链是否正在出块？第二，您的账户余额是否仍准确？第三，交易平台能否支持存取？现实中常出现链运行但交易所冻结、或链暂停但余额未变的情况。理解三者分离是避免误判的关键。

如何判断链是否依赖共享构建模块

购买前可通过三步排查：查阅文档，若提及基于Cosmos SDK并通过模块实现EVM兼容，则存在共享风险；查看代码仓库的依赖文件，比对版本号是否为已知修复版本；观察沟通渠道，是否有状态页面、安全联系人及过往事件复盘。本次事件中，11个实例连发布者都不知情，凸显透明度的重要性。

税务准备：链暂停后的证据留存指南

链暂停本身不触发税务事件，除非您主动出售或代币消失。建议立即保存截图：账户余额（含时间戳）、交易哈希、交易所网关冻结通知及官方声明。这些材料将在未来申报亏损或解释资产变动时发挥关键作用。税务处理需视具体情况而定，不可一概而论。

核心启示：三步走应对共享风险

首先，分别监控链状态、账户余额与交易所功能，三者互不关联。其次，购前审查链所用模块、版本与安全联络机制，远比宣传文案更具参考价值。最后，长期持有者应将资产置于自我托管环境中，避免受限于第三方平台的临时冻结政策。

（截至2026年8月29日。本文不构成投资建议。价格与条款可能变动，请以提供商最新信息为准。）