L’analyste en recherche sécurité Doyeon Park a révélé le 21 avril qu’il existe une vulnérabilité de type zero-day à haut risque notée 7,1 sur CVSS dans CometBFT, la couche de consensus de Cosmos, susceptible d’être exploitée par des pairs malveillants pour attaquer des nœuds pendant la phase de synchronisation des blocs (BlockSync) et de les faire tomber en état d’interblocage, affectant un réseau qui protège plus de 8 milliards de dollars d’actifs.
Principe technique de la vulnérabilité : un signalement de hauteur hautement manipulé par un nœud malveillant conduisant à un interblocage sans fin
La vulnérabilité se trouve dans le mécanisme BlockSync de CometBFT. Dans des conditions normales, lors de la connexion, les nœuds pairs annoncent une hauteur de bloc la plus récente en augmentation (latest). Cependant, le code actuel ne vérifie pas le cas où un pair annonce d’abord une hauteur X puis une hauteur plus basse Y — par exemple annonce d’abord 2000, puis 1001. Dans ce cas, le nœud A en synchronisation attendra indéfiniment de rattraper la hauteur 2000 ; même si le nœud malveillant se déconnecte, la hauteur cible ne sera pas recalculée, ce qui provoque un interblocage sans fin du nœud, l’empêchant de se reconnecter au réseau. Les versions concernées sont <= v0.38.16 et v1.0.0 ; les versions corrigées sont v1.0.1 et v0.38.17.
Défaillance de la divulgation coordonnée : chronologie complète de la dégradation CVE par le fournisseur
Park a suivi le processus standard de divulgation coordonnée des vulnérabilités (CVD), mais plusieurs obstacles se sont présentés au cours de la démarche : le 22 février, soumission du premier rapport ; le fournisseur a demandé qu’il soit soumis sous forme d’un GitHub issue public mais a refusé la divulgation publique ; le 4 mars, le second rapport a été marqué comme spam par HackerOne ; le 6 mars, le fournisseur a dégradé de lui-même la gravité de la vulnérabilité de « moyenne/élevée » à « informative (impact négligeable) » ; Park a soumis une preuve de concept (PoC) au niveau du réseau pour contester la dégradation ; et le 21 avril, la décision finale a été prise de divulguer publiquement.
Park a également indiqué que le fournisseur avait auparavant effectué une opération similaire de dégradation sur le CVE-2025-24371, une vulnérabilité présentant un impact identique, ce qui serait en violation des standards internationaux reconnus d’évaluation des vulnérabilités comme le CVSS.
Instructions d’urgence : actions que les validateurs doivent prendre maintenant
Avant le déploiement officiel du correctif, Park recommande à tous les validateurs Cosmos d’éviter autant que possible de redémarrer les nœuds. Les nœuds déjà en mode consensus peuvent continuer à fonctionner normalement ; toutefois, s’ils sont redémarrés et entrent dans le processus de synchronisation BlockSync, ils peuvent tomber en interblocage à cause d’une attaque par des pairs malveillants.
À titre de mesure d’atténuation temporaire : si BlockSync se bloque, vous pouvez identifier les pairs malveillants rapportant des hauteurs non valides en augmentant le niveau de journalisation, puis bloquer ce nœud au niveau P2P. La solution la plus fondamentale consiste à mettre à niveau dès que possible vers les versions corrigées v1.0.1 ou v0.38.17.
Questions fréquentes
Cette vulnérabilité de CometBFT peut-elle voler directement des actifs ?
Non. Cette vulnérabilité ne permet pas de voler directement des actifs ni de compromettre la sécurité des fonds on-chain. Son impact est de faire tomber les nœuds en interblocage pendant la phase de synchronisation BlockSync, empêchant les nœuds de participer correctement au réseau ; cela peut affecter la capacité des validateurs à produire des blocs et à voter, et donc influer sur l’activité des chaînes de blocs concernées.
Comment les validateurs peuvent-ils déterminer si un nœud a été attaqué par cette vulnérabilité ?
Si le nœud se bloque pendant la phase BlockSync, c’est un signe possible : la hauteur cible cesse d’augmenter. Vous pouvez augmenter le niveau de journalisation du module BlockSync, et vérifier si des journaux indiquent des pairs ayant envoyé des messages de hauteur anormale, afin d’identifier les nœuds malveillants potentiels, puis de les bloquer au niveau P2P.
Le fait que le fournisseur ait dégradé la vulnérabilité en « informative » est-il conforme aux standards ?
L’évaluation CVSS de Park (7,1, risque élevé) s’appuie sur la méthode standard d’évaluation internationale, et Park a soumis une PoC vérifiable au niveau du réseau pour réfuter la décision de dégradation. Le fait que le fournisseur l’ait dégradée en « impact négligeable » est considéré par la communauté de sécurité comme une violation des standards internationaux reconnus d’évaluation des vulnérabilités tels que le CVSS ; cette controverse est aussi l’une des raisons clés pour lesquelles Park a finalement décidé de divulguer publiquement.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
MàJ 23pds Avertissement : Lazarus Group publie un nouveau kit d’outils macOS destiné aux crypto-monnaies
Le chef de l’information en matière de cybersécurité de Mist « 23pds » a publié une alerte le 22 avril, affirmant que l’organisation de hackers nord-coréenne Lazarus Group a publié un tout nouvel ensemble d’outils de logiciels malveillants natifs pour macOS, « Mach-O Man », conçu spécifiquement pour le secteur des crypto-monnaies et les cadres dirigeants d’entreprises de grande valeur.
MarketWhisperIl y a 19m
L’attaquant du protocole Venus transfère 2301 ETH, et les fonds sont transférés vers Tornado Cash pour être blanchis
Selon l’analyse en chaîne de l’analyste Ai Ayi du 22 avril, l’attaquant de Venus Protocol a transféré, il y a 11 heures, 2 301 ETH (environ 5,32 millions de dollars) à l’adresse 0xa21…23A7f, puis a transféré les fonds par lots vers un mélangeur de crypto Tornado Cash afin de les blanchir ; au moment du suivi, l’attaquant détient encore environ 17,45 millions de dollars en ETH sur la chaîne.
MarketWhisperIl y a 2h
Le groupe Lazarus nord-coréen publie un nouveau malware macOS Mach-O Man ciblant la crypto
Résumé : Le groupe Lazarus a publié une trousse d’outils malveillants native pour macOS nommée Mach-O Man, visant les plateformes crypto et des cadres de haut niveau ; SlowMist invite les utilisateurs à faire preuve de prudence face aux attaques.
Résumé : L’article rapporte que le groupe Lazarus a dévoilé Mach-O Man, une trousse d’outils malveillants native pour macOS visant les plateformes de cryptomonnaie et des cadres de haut niveau. SlowMist avertit les utilisateurs de faire preuve de prudence afin d’atténuer les attaques potentielles.
GateNewsIl y a 3h
Le détroit d’Ormuz est le théâtre d’une arnaque aux péages en Bitcoin : un navire paie, puis reste visé par des tirs
Selon CoinDesk, dans un article publié le 22 avril, la société de services de risques maritimes Marisks basée en Grèce a lancé une alerte : des escrocs se font passer pour des autorités iraniennes et envoient des messages à plusieurs entreprises de transport maritime afin d’obtenir des bitcoins ou du USDT comme « péage » pour passer par le détroit d’Ormuz. Marisks a confirmé que les messages en question ne provenaient pas de canaux officiels iraniens et, d’après Reuters, a indiqué qu’elle pensait qu’au moins un navire a été victime d’une escroquerie, et qu’au cours du week-end, lors de sa tentative de passage, il a encore été pris pour cible par des tirs.
MarketWhisperIl y a 3h
Mise à jour de l’incident de sécurité de RHEA Finance : il reste environ 400 000 USD de déficit, engagement de l’indemniser intégralement
RHEA Finance a publié une mise à jour de suivi concernant l’incident de sécurité du 16 avril, confirmant des progrès tangibles dans le recouvrement des actifs ; à la date de cette mise à jour, il est estimé qu’il subsiste encore un manque d’environ 400 000 dollars, principalement dû à la combinaison de NEAR, USDT et USDC dans la réserve du marché des prêts. RHEA Finance s’engage à combler intégralement tout manque restant, afin de garantir que tous les utilisateurs touchés reçoivent une indemnisation complète.
MarketWhisperIl y a 3h
Un chercheur révèle une vulnérabilité zero-day critique CVSS 7.1 dans la couche de consensus Cosmos CometBFT
La chercheuse en sécurité Doyeon Park a révélé une faille zero-day CVSS 7.1 dans CometBFT de Cosmos, pouvant entraîner des gels potentiels des nœuds pendant la synchronisation ; la résistance du fournisseur, les rétrogradations et la divulgation ont conduit à une révélation le 21 avril ; les validateurs doivent éviter les redémarrages avant le correctif.
Résumé : La chercheuse en sécurité Doyeon Park a révélé une vulnérabilité critique zero-day CVSS 7.1 dans la couche de consensus CometBFT de Cosmos, susceptible de provoquer le gel des nœuds pendant la synchronisation des blocs, ce qui pourrait affecter des réseaux qui sécurisent plus de $8 milliard de dollars d’actifs. La vulnérabilité ne peut pas voler directement des fonds. Park a entamé une divulgation coordonnée à partir du 22 février, mais s’est heurtée à la résistance du fournisseur à la divulgation publique et à des problèmes avec HackerOne. Le fournisseur a rétrogradé une vulnérabilité liée (CVE-2025-24371) du statut critique à celui d’information le 6 mars, poussant Park à publier une preuve de concept au niveau réseau avant la divulgation publique du défaut le 21 avril. L’avis recommande aux validateurs Cosmos d’éviter de redémarrer les nœuds jusqu’à la publication des correctifs ; les nœuds déjà en consensus peuvent continuer, mais un redémarrage et une resynchronisation pourraient les exposer à des attaques menées par des pairs malveillants, avec un risque d’interblocage.
GateNewsIl y a 3h
