币圈界报道：

六条链遭利用：共享模块漏洞引发572万美元资产外流

2026年8月20日至25日间，一个名为Cosmos EVM的通用软件组件被发现存在严重缺陷，导致六条独立区块链遭受攻击。攻击者利用该漏洞窃取约572万美元资产，其中三条链被迫暂停运营以防止进一步损失。该模块由Cosmos Labs维护，其影响范围波及40个网络实例，暴露出跨链生态中依赖共享代码所面临的协同风险。

共用代码包暴露全局脆弱性：漏洞如何穿透多链边界

Cosmos EVM作为一套可集成的执行环境，使非以太坊兼容链能快速部署智能合约功能。然而，这种便捷性以共享底层代码为代价——一旦模块存在缺陷，所有集成该版本的链均面临同等威胁。此次漏洞编号为GHSA-7g4w-cg88-2cq2，未获标准CVE分类或评分，修复补丁于8月19日发布，覆盖0.6.2及0.7.2以上版本。

账本对齐失败：余额溢出与资金错位的技术机制

问题根源在于两个账本系统的同步机制失衡。在委托操作中，当归属账户可用余额不足以覆盖全量委托金额时，系统未校验结果合法性，直接执行无符号减法运算。这触发了整数溢出效应，使账户余额跳变至2的256次方量级，攻击者借此提取巨额资金或破坏目标地址余额。

模块化架构的双刃剑：为何安全性不只取决于链自身

当前区块链生态广泛采用模块化设计，允许链团队复用成熟组件加速开发。但这也意味着，即使链本身逻辑健全，若依赖的外部模块存在缺陷，仍可能成为攻击入口。用户持有的资产安全，不仅取决于链方信誉，更依赖于其对外部组件的更新响应速度和透明度。

归属账户为何成突破口：新链治理中的普遍风险点

归属账户用于分阶段释放团队、投资者与早期贡献者的代币，是初创链的标配机制。由于其分布广泛且结构相似，攻击者可批量复用同一漏洞路径。因此，受影响链普遍建议暂时禁止创建新归属账户，以降低被利用概率。

从赏金报告到全面爆发：四个月时间线中的关键节点

漏洞于4月25日通过赏金计划提交，初期评估认为无重大风险；5月15日修复补丁以非关键方式合并至主干。直至8月13日，团队确认所有使用该模块的链均处于风险之中。8月19日发布修复版本后，首个攻击行为于8月20日07:16 UTC曝光，随后MANTRA链于当日19:06发生异常交易。8月21日，首次内部通知发出，8月24日启动公开警报，呼吁验证者立即暂停出块。

名义价值与实际变现：为何损失金额呈现多重统计口径

媒体报道中损失金额差异显著，源于衡量维度不同。572万美元为攻击者实际套现总额（去中心化交易所与中心化平台合计），而部分报道提及的900万美元为被盗代币事件前的名义市值。例如，KiiChain称有约14832万个代币被窃，市值近900万，但出售后仅回笼约160万，反映市场抛压对价格的剧烈冲击。

三链实录：MANTRA、KiiChain与TAC的应对轨迹

MANTRA链于8月21日区块17,449,398处暂停，8月22日以v8.4.0版本重启，团队声明用户余额未受损，仅两受控地址受影响。KiiChain在区块9,355,723处停止出块，记录十八次重复攻击行为。TAC链于8月22日区块24,671,475处暂停，官方归因于共享代码缺陷。其余三条链虽未命名，但已知完成升级或加固。

暂停出块：为何这是最保守且有效的应急策略

链暂停即验证者停止生成新区块，网络进入静默状态。此举虽造成服务中断，却避免了在升级前窗口期遭受持续攻击。鉴于常规治理升级需数小时至数日，远慢于攻击传播速度，因此建议立即更新至最新版本，或暂不运行。同时，建议在代码路径中禁用归属账户创建，并注册安全联络人。

静默修复与披露延迟：安全流程中的争议焦点

静默补丁旨在防止攻击者提前获取漏洞信息，但前提是运营者已知晓需行动。部分链指出，修复发布前缺乏主动预警，且未标记为高危，导致无法及时响应。尽管Cosmos Labs强调在无即时风险时遵循常规流程，但时间线显示从赏金报告到公开警报仅隔不足四个月，评估依据仍存疑问。

持有者自查清单：三项核心检查不可遗漏

若您持有相关代币，首要任务是厘清三类状态：第一，查看链是否仍在出块（可通过区块浏览器确认）；第二，核实链团队是否已宣布升级版本并恢复运行；第三，确认交易平台是否已开放充值与提现功能。三者独立，不应混淆。

三种状态分离解读：链运行、余额稳定与网关开放

链是否出块 ≠ 余额是否正常 ≠ 交易能否进行。常见情况是链暂停但余额未动，或交易所冻结提币但链仍在运行。因此，不能仅凭某一项状态判断整体风险，必须分别核查。

如何识别是否依赖共享组件：购买前的三项排查方法

首先查阅链文档，若提及基于Cosmos SDK并通过模块实现EVM兼容，则存在共享依赖。其次访问公开代码仓库，检查依赖文件中的版本号是否在已知漏洞范围内。最后观察沟通渠道：是否有状态页面、安全联系人及过往事件分析报告？本次事件中，11个实例甚至未被发布者察觉，凸显透明度的重要性。

税务准备与证据留存：链暂停后的必要操作

链暂停本身不构成税务事件，除非您主动卖出或代币消失。建议立即保存截图：包括账户余额、交易哈希、平台冻结通知及链方公告。这些材料将有助于未来申报亏损或解释资产变动。

三步总结：从被动防御到主动规避

首先，区分链状态、余额状况与交易通道，三者独立判断。其次，购前审查链所用模块版本与安全机制，框架与依赖比宣传更具参考价值。最后，将长期持有资产置于自我托管环境中，远离交易所临时冻结带来的不确定性。

（截至2026年8月29日。本文不构成投资建议。价格与条款可能变动，请以官方信息为准。）