Cosmos Labs innrømmet den 28. august 2026 at selskapet vurderte en kritisk sårbarhet feil i april samme år, en feilvurdering som endte med å koste økosystemet minst $5,72 millioner. Angripere brukte en glipp i den delte EVM-modulen til Cosmos, kjent som Cosmos EVM, til å drenere midler fra seks forskjellige blokkjeder mellom 20. og 25. august. Tre av kjedene måtte stanse driften midlertidig, og selskapet varslet i etterkant 40 nettverk som kjører den samme koden.
Saken er interessant av en grunn som skiller den fra de fleste krypto-hackene som har preget 2026: dette var ikke en enkelt protokoll med dårlig kode. Det var en feil i selve grunnmuren som dusinvis av uavhengige blokkjeder bygger videre på. Når en delt komponent svikter, svikter den potensielt overalt samtidig, og det er nettopp den systemiske risikoen som gjør Cosmos EVM-hacket relevant for alle som følger sikkerheten i krypto-infrastruktur, også i Norge og Norden.
Hva skjedde: Cosmos EVM-hacket i korte trekk
Cosmos EVM er programvaren som lar blokkjeder bygget med Cosmos SDK kjøre Ethereum-kompatible smartkontrakter. I stedet for at hver kjede skriver sin egen løsning, deler et førtitalls nettverk den samme kodebasen. Det sparer utviklingstid, men det betyr også at én svakhet kan ramme svært mange kjeder på én gang.
Angriperne fant nettopp en slik svakhet. Ved å opprette en spesialbygd “vesting”-konto, altså en konto med tidslåste tokens, og deretter delegere mer av saldoen enn kontoen faktisk hadde til en validator, klarte de å trigge en underflow-feil i balanseregnskapet. Saldoen gikk under null og rullet i stedet over til nesten den maksimale verdien et 256-bit tall kan ha. Dermed satt angriperne plutselig med en konto som så ut til å inneholde et nærmest ubegrenset antall tokens, penger de siden kunne overføre og selge.
Cosmos Labs registrerte svakheten under sikkerhetsidentifikatoren GHSA-7g4w-cg88-2cq2 og ga den status kritisk, men uten et eget CVE-nummer i den første offentliggjøringen, ifølge The Hacker News’ gjennomgang av saken. Det treffer et mønster shattered.io har omtalt før: mange av årets største krypto-hendelser, som Tectonic-hacket på Cronos til 74 millioner dollar, handler om at enkeltkomponenter i finansiell infrastruktur brister på måter utviklerne ikke hadde forutsett.
Tidslinjen fra varsel i april til angrep i august
Det mest oppsiktsvekkende elementet i saken er ikke selve koden, men tidslinjen. Feilen ble meldt inn gjennom Cosmos Labs’ eget bug-bounty-program allerede i april 2026. Den gangen konkluderte teamet med at problemet ikke påvirket produksjonsnettverk, og saken ble lagt til side som lite alvorlig.
I begynnelsen av august viste uavhengige sikkerhetsforskere at konklusjonen var feil. Svakheten rammet faktisk samtlige Cosmos EVM-kjeder, ikke bare noen spesialtilfeller. Cosmos Labs skrev en patch, men valgte å ikke offentliggjøre detaljer om alvorlighetsgraden da rettelsen ble sluppet i versjonene v0.6.2 og v0.7.2 kvelden 19. august. Under 20 timer senere, tidlig 20. august, startet det første angrepet. Utnyttelsen fortsatte i bølger frem til 25. august, før validatorer på flere kjeder stanset driften for å hindre ytterligere tap.
| Dato (2026) | Hendelse |
|---|---|
| April | Sårbarheten meldes inn via Cosmos Labs’ bug-bounty-program, vurderes som ikke produksjonskritisk |
| Tidlig august | Uavhengige forskere viser at feilen rammer alle Cosmos EVM-kjeder |
| 19. august (kveld) | Cosmos Labs slipper rettelser i v0.6.2 og v0.7.2 uten offentlig alvorlighetsvarsel |
| 20. august | Første angrep registreres, cirka 20 timer etter patchen |
| 22. august | Angriper gjentar teknikken 18 ganger på KiiChain, drenerer over 148 millioner KII |
| 20.–25. august | Angrep pågår på til sammen seks kjeder, tre stanser driften |
| 28. august | Cosmos Labs publiserer teknisk etterrapport og innrømmer feilvurderingen |
| 30. august | Selskapet oppgir å ha kontaktet 40 berørte nettverk |
Slik fungerte angrepet: underflow i vesting-kontoer
For lesere med teknisk bakgrunn er selve mekanismen verdt å se nærmere på, fordi den er et lærebokeksempel på hvorfor heltallsoverflyt fortsatt er en av de farligste feilkategoriene i finansiell programvare. Angrepet fulgte i grove trekk denne rekkefølgen:
1. Opprett en vesting-konto med låste tokens
2. Bruk en skreddersydd kontrakt til å delegere MER
av saldoen enn kontoen faktisk eier, til en validator
3. Trekk-operasjonen mangler kontroll mot negativt resultat
4. Saldoen underflyter og "ruller over" til nær 2^256-1
5. EVM-tilstanden og Cosmos SDK-modulen x/bank
blir usynkroniserte
6. Den kunstig oppblåste saldoen kan overføres
og løses inn som ekte verdiKjernen i problemet er at delegeringslogikken stolte på at en konto aldri kunne love bort mer enn den eide. Da den forutsetningen sviktet, kollapset resten av regnskapet. Cosmos Labs beskrev det selv som en kjede av underflyt etterfulgt av overflyt, en beskrivelse som stemmer godt med hvordan angriperne i praksis fikk kontrollen de trengte for å tømme flere kjeder på kort tid.
De rammede kjedene: MANTRA, TAC Chain og KiiChain
Av de seks kjedene som ble rammet, har Cosmos Labs offentlig bekreftet navnene på tre: MANTRA, TAC Chain og KiiChain. De resterende tre er foreløpig ikke navngitt i noen offentlig kilde, noe som i seg selv sier noe om hvor fragmentert rapporteringsplikten fortsatt er i et økosystem med dusinvis av selvstendige kjeder.
KiiChain-hendelsen i detalj
KiiChain er kjeden med de mest detaljerte offentlige tallene. Den 22. august gjentok en angriper samme teknikk 18 ganger på rad og klarte å drenere 148.326.583,15 KII-tokens før validatorene stanset kjeden ved blokk 9.355.723. Teamet bak KiiChain understreket at ansvaret lå utenfor deres egen kode: “The vulnerability is in Cosmos code, not KiiChain code. It sits in the shared Cosmos EVM module (cosmos/evm), which KiiChain runs unmodified.” Det er en presis beskrivelse, og den illustrerer samtidig hvor lite kontroll en enkeltkjede har over sikkerheten i komponenter den ikke selv vedlikeholder.
De tre uidentifiserte kjedene
At halvparten av de rammede nettverkene forblir anonyme i offentlig rapportering, er ikke unikt for denne saken. Mange mindre Cosmos-kjeder mangler egne kommunikasjonsteam eller børsnoterte tokens som tvinger frem åpenhet. Det gjør det vanskeligere for forskere, journalister og investorer å få et fullstendig bilde av hvor stor den reelle skaden faktisk er.
Beløpet: 5,72 millioner dollar eller 14,8 millioner?
Tallene spriker avhengig av hvem som regner. Cosmos Labs’ egne tall, som er gjengitt av de fleste nyhetskilder, lander på $5,72 millioner i totalt tap. Sikkerhetsselskapet Blocksec kom derimot til et betydelig høyere anslag på rundt $14,8 millioner i sin augustoversikt, basert på verdien av de overførte eiendelene fra de tre navngitte kjedene alene, altså før de tre uidentifiserte kjedene er regnet med i det hele tatt.
Forskjellen kommer trolig av ulik verdsettingsmetodikk: skal man bruke prisen på angrepstidspunktet, toppris før tokenet stupte etter nyheten, eller salgsprisen angriperen faktisk fikk da eiendelene ble likvidert på børs? Uansett hvilket tall man legger til grunn, er hendelsen langt fra den største i 2026 målt i dollar. Til sammenligning drenerte bro-hacket mot KelpDAO og LayerZero i april 2026 rundt 292 millioner dollar i det som fortsatt regnes som årets største DeFi-eksploit. Det som gjør Cosmos-saken alvorlig, er ikke størrelsen, men bredden.
Hvor pengene tok veien
Ifølge børsen KuCoins egen nyhetsoppdatering ble omtrent $2,87 millioner av de stjålne midlene byttet og solgt via desentraliserte børser (DEX-er), mens $2,85 millioner gikk gjennom sentraliserte børser (CEX-er). På CEX-siden har angriperens kontoer blitt fryst og er under etterforskning, mens midlene som allerede er byttet på DEX-er, i praksis er vanskelige å spore videre eller kreve tilbake.
Ingen kilde bekrefter per publiseringstidspunkt at noen del av summen faktisk er tilbakebetalt til de rammede kjedene eller brukerne. Frysing av børskontoer er et skritt i riktig retning, men det er ikke det samme som reell refusjon, og historikken fra tidligere krypto-hack viser at slike prosesser ofte tar måneder, om de i det hele tatt lykkes.
Cosmos Labs’ respons og selvkritikk
Cosmos Labs publiserte en teknisk etterrapport 28. august der selskapet tok et uvanlig direkte oppgjør med egen saksbehandling. I et innlegg på X skrev selskapet: “Between August 20th and August 25th, attackers exploited a vulnerability in Cosmos EVM to extract funds from multiple Cosmos-based blockchains.” Meldingen var kortfattet, men den tekniske rapporten som fulgte gikk lenger og innrømmet at den opprinnelige vurderingen fra april var feil.
Ordvalget i rapporten er verdt å legge merke til. Ifølge Forklogs gjengivelse av etterrapporten omtaler Cosmos Labs selv hendelsen som et resultat av at teamet feilaktig friskmeldte svakheten som ufarlig. En slik åpen innrømmelse er relativt sjelden i bransjen, der de fleste selskaper foretrekker formuleringer som minimerer eget ansvar. Samtidig endrer ikke åpenheten det faktum at feilvurderingen fikk stå urettet i over fire måneder før den ble utnyttet.
Hvorfor “ikke-produksjon”-vurderingen var feil
Ifølge etterrapporten trodde teamet opprinnelig at feilen krevde en konfigurasjon som ikke fantes i noen av kjedene som faktisk kjørte i produksjon. Den antakelsen sto seg helt til uavhengige forskere i august demonstrerte at forutsetningene angriperne trengte, var langt mer generelle enn først antatt. Kombinasjonen av en vesting-konto og en delegeringstransaksjon er ikke noe eksotisk oppsett, det er en funksjon mange lommebøker og staking-tjenester bruker rutinemessig.
Denne typen feilvurdering er ikke unik for Cosmos. Bug-bounty-programmer over hele bransjen sliter med å skille mellom teoretiske og praktisk utnyttbare sårbarheter, og konsekvensen når vurderingen bommer, kan bli enorm nettopp fordi koden er delt mellom så mange uavhengige aktører. shattered.io har tidligere dekket hvordan DeFi-sektoren samlet tapte over 942 millioner dollar til lignende underliggende svakheter i smartkontrakter, ofte fordi revisjoner og bounty-programmer ikke fanget opp kombinasjonen av funksjoner som til slutt ble utnyttet.
Markedseffekt for Cosmos-økosystemet og IBC
Cosmos-økosystemet bygger sin markedsføring nettopp på ideen om suverene, sammenkoblede kjeder som snakker sammen via IBC-protokollen (Inter-Blockchain Communication). Fordelen er fleksibilitet, ulempen er at en feil i delt infrastruktur som Cosmos EVM sprer seg raskt på tvers av et nettverk av nettverk. For utviklere som vurderer hvor de skal bygge neste applikasjon, er denne typen hendelse et konkret argument som må veies mot fordelene ved å bruke ferdig, delt tooling fremfor å skrive egen kode fra bunnen.
På kort sikt førte hendelsen til synlige prisfall og økt volatilitet for tokenene til de bekreftede kjedene, samt en periode med stanset handel mens validatorene jobbet med å stoppe blødningen. På lengre sikt er det tilliten til delte moduler som står på spill. Hvis flere utviklere begynner å oppfatte Cosmos EVM som en enkelt feilkilde for et helt nettverk av kjeder, kan det svekke argumentet for å bruke IBC-tilkoblede kjeder fremfor mer isolerte arkitekturer.
Sammenligning med andre store krypto-hack i 2026
Cosmos EVM-hacket er langt fra en isolert hendelse. August 2026 var faktisk måneden med flest registrerte krypto-hack noensinne, med 50 større hendelser ifølge sikkerhetsselskapet PeckShield, selv om det totale tapet falt til $136,3 millioner, ned nesten 50 prosent fra julis $270 millioner. Tabellen under viser hvordan Cosmos-saken plasserer seg blant årets andre store hendelser.
| Hendelse | Dato (2026) | Tap (USD) | Angrepstype |
|---|---|---|---|
| KelpDAO / LayerZero | April | ~$292 millioner | Falsk kryssnettverk-melding i bro |
| Tectonic (Cronos) | 30. august | ~$74 millioner | Manipulert sikkerhetsprising i utlånsprotokoll |
| Coinsbuy-børsen | 9. august | ~$8 millioner | Koordinert angrep mot lommebøker på to kjeder |
| Cosmos EVM (seks kjeder) | 20.–25. august | $5,72–14,8 millioner | Integer underflow i delt modul |
| Switchboard (fire kjeder) | August | ~$546.000 | Utnyttelse på tvers av flere kjeder |
Det som skiller Cosmos-saken fra de andre postene i tabellen, er ikke dollarbeløpet, men rekkevidden. Mens Tectonic-hacket rammet én utlånsprotokoll og Coinsbuy-hacket rammet én børs, rammet Cosmos EVM-feilen potensielt alle nettverk som brukte den sårbare modulversjonen. Det er samme mønster shattered.io beskrev i gjennomgangen av 16 krypto-hack på 19 dager i august, der summen av mange mindre hendelser samlet sett utgjorde en betydelig trussel mot sektorens omdømme.
Historisk kontekst: delte moduler som systemrisiko
Ifølge TRM Labs’ rapport for første halvår 2026 endte perioden på $972 millioner i tap fordelt på 207 registrerte hendelser, det høyeste antallet enkelthendelser noensinne registrert for en seksmånedersperiode, selv om totalsummen var mindre enn halvparten av de $2,3 milliardene som ble stjålet i samme periode i 2025. Analyseselskapet CoinGecko anslår at bransjen samlet har tapt $3,63 milliarder til hack og utnyttelser fra januar 2025 til juli 2026, fordelt på 245 dokumenterte hendelser.
Et av de mer oppsiktsvekkende funnene fra CoinGeckos rapport er at protokoller som faktisk hadde gjennomført uavhengige sikkerhetsrevisjoner, sto for hele 88,44 prosent av alle stjålne midler i perioden. Det betyr ikke at revisjoner er verdiløse, men det viser at en revisjon er et øyeblikksbilde, ikke en permanent garanti. CertiKs Hack3D-rapport, omtalt av Forbes, viser samme mønster: 1,3 milliarder dollar tapt på 344 hendelser i H1 2026, altså færre store engangstap, men flere presise angrep totalt sett. Cosmos EVM-modulen har utvilsomt vært gjennom sikkerhetsgjennomganger tidligere, likevel klarte den ikke å fange opp en kombinasjon av funksjoner som i ettertid virker relativt åpenbar.
Mønsteret med delte komponenter som svikter på tvers av mange systemer samtidig, minner om liknende hendelser i tradisjonell IT-sikkerhet, der en enkelt sårbar programvarekomponent kan ramme tusenvis av organisasjoner på én gang. Forskjellen i krypto er at konsekvensen er umiddelbar og økonomisk: midlene forsvinner i sanntid, det finnes ingen forsikring som automatisk dekker tapet, og reverseringsmuligheter er ekstremt begrensede når transaksjonene først er bekreftet på kjeden.
Cosmos mot Ethereum L2 og Polkadot: ulike sikkerhetsmodeller
Cosmos-hendelsen inviterer til en naturlig sammenligning med hvordan konkurrerende økosystemer håndterer akkurat denne typen systemrisiko. Ethereums andrelagsløsninger (L2) deler i stor grad sikkerhet med hovedkjeden gjennom bevisordninger, men hver rollup kjører ofte sin egen implementasjon av sekvenserer- og bro-kode, noe som isolerer feil til enkeltprosjekter i de fleste tilfeller. Polkadots parakjeder deler derimot sikkerhet gjennom et felles relékjede-design, en arkitektur som ligner mer på Cosmos sin filosofi, men der selve konsensuslaget er strengere standardisert enn den mer fragmenterte EVM-modulen i Cosmos.
| Økosystem | Sikkerhetsmodell | Sårbarhet ved delt kode |
|---|---|---|
| Cosmos (IBC) | Suverene kjeder, delt EVM-modul og delt SDK | Høy, én modulfeil kan ramme dusinvis av kjeder samtidig |
| Ethereum L2 (rollups) | Deler sikkerhet med L1, egen sekvenserer per prosjekt | Middels, feil isoleres ofte til enkeltprosjekter |
| Polkadot (parakjeder) | Felles relékjede med delt konsensus | Middels til høy, men strengere standardisert kjernekode |
Bug bounty-programmenes akilleshæl
Alle tre økosystemene bruker bug-bounty-programmer som første forsvarslinje, og alle tre har opplevd tilfeller der interne vurderinger av alvorlighetsgrad har vist seg å være feil i ettertid. Forskjellen ligger i hvor raskt en feilvurdering får konsekvenser. I et system med delte moduler, slik Cosmos EVM er et eksempel på, kan en enkelt feilklassifisering i april få praktiske konsekvenser for et dusin uavhengige kjeder fem måneder senere. Sikkerhetsforskere hos Security Arsenal peker på at dette er en risiko utviklere som velger arkitektur for nye prosjekter, i økende grad bør vurdere eksplisitt.
Hva dette betyr for norske og nordiske investorer
For norske og nordiske investorer med eksponering mot Cosmos-baserte prosjekter er det praktiske rådet enkelt, men lett å glemme i hverdagen: sjekk hvilken infrastruktur en token faktisk bygger på, ikke bare hvilket prosjekt som står på forsiden. En kjede kan ha et solid team og god kode i eget prosjekt, men likevel være eksponert for feil i delte komponenter den ikke selv kontrollerer, slik KiiChain opplevde i august.
Norske investorer bør også være oppmerksomme på at norske og europeiske børser som opererer under MiCA-regelverket, er pålagt strengere krav til sikkerhetsrutiner enn mange internasjonale plattformer. Det betyr ikke at norske brukere er immune mot denne typen hendelser, men det gir i det minste et rammeverk for hvordan tap og ansvar skal håndteres når en børs eller tjenesteleverandør rammes indirekte av feil lenger nede i stabelen.
For alle som selv sitter med kryptobeholdninger, gjelder de samme grunnprinsippene som ved Coinsbuy-hacket i august: spre ikke all formuen på én børs eller ett nettverk, følg med på offisielle kanaler for sikkerhetsvarsler, og vær ekstra forsiktig med prosjekter som bygger på infrastruktur du ikke selv har undersøkt hvem som vedlikeholder.
Fem spådommer for resten av 2026
- Flere kjeder vil kreve uavhengig re-audit av delte moduler. Etter denne saken er det sannsynlig at flere Cosmos-baserte prosjekter vil kreve en ny, uavhengig gjennomgang av Cosmos EVM før de oppgraderer videre.
- Bug-bounty-programmer strammer inn klassifiseringskriteriene. Forventet respons fra flere økosystemer, ikke bare Cosmos, er strengere og mer konservative rutiner for å vurdere om en feil er produksjonskritisk.
- Offentliggjøring av patch-alvorlighet blir normen. Praksisen med å slippe stille rettelser uten å varsle om alvorlighetsgrad vil trolig møte økt kritikk og press for endring fra resten av bransjen.
- Totalt hack-tap for 2026 lander trolig under 2025-nivå. Med H1 2026 på $972 millioner mot $2,3 milliarder i H1 2025, kan hele året ende lavere enn i fjor til tross for rekordmange enkelthendelser.
- Flere av de tre uidentifiserte kjedene blir navngitt. Presset fra brukere og medier gjør det sannsynlig at identiteten til de resterende rammede nettverkene blir kjent i løpet av høsten 2026.
Ofte stilte spørsmål om Cosmos EVM-hacket
Hva er Cosmos EVM?
Cosmos EVM er en delt programvaremodul som lar blokkjeder bygget med Cosmos SDK kjøre Ethereum-kompatible smartkontrakter. Mange uavhengige kjeder bruker den samme kodebasen fremfor å utvikle sin egen løsning.
Hvor mye penger ble stjålet i Cosmos EVM-hacket?
Cosmos Labs oppgir $5,72 millioner som offisielt tapstall. Sikkerhetsselskapet Blocksec har et høyere anslag på rundt $14,8 millioner basert på verdien av overførte eiendeler fra de tre navngitte kjedene alene.
Hvilke blokkjeder ble rammet?
Cosmos Labs har offentlig bekreftet MANTRA, TAC Chain og KiiChain. Ytterligere tre kjeder skal også ha vært rammet, men er ikke navngitt i noen offentlig kilde per publiseringstidspunktet.
Hvorfor ble ikke sårbarheten fikset da den ble meldt inn i april?
Cosmos Labs vurderte opprinnelig at feilen krevde en konfigurasjon som ikke fantes i noe produksjonsnettverk. Den vurderingen viste seg å være feil da uavhengige forskere i august demonstrerte at kombinasjonen av vesting-konto og delegering var langt mer generell enn antatt.
Har noen av de stjålne midlene blitt tilbakebetalt?
Delvis. Angriperens kontoer på sentraliserte børser er fryst og under etterforskning, men ingen kilde bekrefter per nå at midler faktisk er tilbakeført til brukere eller rammede kjeder. Midler solgt via desentraliserte børser er i praksis vanskelige å spore videre.
Er Cosmos-økosystemet trygt å bruke etter hacket?
Sårbarheten er patchet i versjonene v0.6.2 og v0.7.2. Kjeder som har oppdatert til disse versjonene, er ikke lenger eksponert for akkurat denne feilen. Hendelsen illustrerer likevel en strukturell risiko ved delte moduler som brukere bør være bevisste på fremover.
Hvordan skiller dette hacket seg fra andre store krypto-hack i 2026?
De fleste andre store 2026-hendelser, som Tectonic-hacket og KelpDAO-bro-hacket, rammet én enkelt protokoll. Cosmos EVM-feilen satt i en delt komponent som potensielt rammer alle nettverk som bruker den, noe som gjør rekkevidden mer alvorlig enn dollarbeløpet alene skulle tilsi.
Hva bør norske investorer gjøre etter denne typen hendelse?
Undersøk hvilken underliggende infrastruktur et prosjekt bygger på, ikke bare selve prosjektet. Spre beholdninger over flere børser og nettverk, bruk plattformer regulert under MiCA der det er mulig, og følg offisielle sikkerhetskanaler for prosjektene du eier eksponering mot.
