币圈界报道：

六链共用缺陷暴露：572万美元损失背后的依赖风险

在2026年8月20日至25日间，一个名为Cosmos EVM的共享软件组件中的严重漏洞被利用，影响了六条独立区块链。总计约572万美元资金被非法转移，三条链被迫暂停运营。尽管该模块由Cosmos Labs维护，但其安全性直接关联所有集成该组件的网络，凸显了现代区块链生态中“代码共享即风险共担”的现实。

跨链依赖隐患：单点故障如何波及多条主网

Cosmos EVM作为一项可复用的以太坊兼容执行环境，允许各链快速部署智能合约功能。然而，其核心风险在于：一旦该模块存在缺陷，所有使用它的网络将面临同等威胁。此次事件中，受影响版本涵盖0.6.2以下及0.7.0至0.7.2（不含）之间，修复补丁于8月19日发布，但部分链未能及时更新，导致攻击窗口持续存在。

账本对齐失效：无符号溢出引发余额异常

问题根源位于两个并行账本之间的数据同步环节。当归属账户委托金额超过其可用余额时，系统未进行有效性校验，直接执行减法操作。由于底层采用无符号整数运算，结果并非负值，而是跳转至最大可表示数值（2^256级别），形成巨额虚假余额。攻击者借此提取资金或伪造转账，造成账本失衡。

共享组件的双重属性：便利性与脆弱性的共生

共享模块虽能加速开发进程，但也意味着每条链的安全水平取决于最薄弱的集成方。用户持有的代币是否安全，不仅取决于链团队的技术能力，更取决于其对外部依赖项的监控与更新响应速度。此次事件中，有11个实例甚至未被原始发布者察觉，暴露了透明度与追踪机制的缺失。

归属账户成突破口：新链普遍存在的设计弱点

归属账户是多数新兴项目用于分阶段释放代币的核心机制，广泛存在于早期网络中。由于其锁定与自由流通部分的动态变化特性，成为攻击者构造溢出条件的理想目标。因此，受影响链均建议暂时禁止创建新的归属账户，以降低潜在风险。

从赏金到爆发：四个月时间线揭示披露延迟

该漏洞早在4月25日便通过赏金计划被提交，当时评估认为不构成生产环境威胁。5月15日修复补丁已悄然合并，但未标记为关键更新。直到8月13日才确认全网影响，8月19日发布修复版本后，攻击路径迅速公开。首笔异常交易于8月20日出现，而首次官方通知则延至次日，反映出应急响应流程存在明显滞后。

名义价值与实际变现：为何损失数字差异悬殊

报道中提及的损失金额从不足200万至逾900万美元不等，源于衡量标准不同。572万美元为攻击者实际套现总额——其中约287万经去中心化交易所，285万通过中心化平台变现。而更高数值反映的是被盗代币在事件前的市场估值，如KiiChain称损失达900万美元，但实际卖出仅得160万，显示卖压对价格造成显著冲击。

三链实录：MANTRA、KiiChain与TAC遭遇详情

MANTRA于8月21日区块17,449,398处暂停，8月22日以8.4.0版本恢复；团队称用户余额未受损，仅两受控地址受影响。KiiChain在区块9,355,723处停链，同一漏洞被重复应用十八次。TAC于8月22日在区块24,671,475处暂停，报告称一账户被清空。三者皆将原因归结于共享模块缺陷，非自身逻辑错误。

链暂停的本质：防御优先于正常运行

链暂停意味着验证节点停止生成新区块，网络进入静默状态。此举虽看似中断服务，实则是防止攻击扩散的必要手段。在无法快速完成治理升级的情况下，暂停是比强行推进更稳妥的选择。建议运营方立即更新至0.6.2或0.7.2及以上版本，或选择暂停，避免暴露于未修复漏洞之下。

静默修补与沟通断层：披露流程的争议焦点

静默补丁旨在减少攻击者获取情报的机会，但前提是所有使用者均已知悉更新需求。然而，本次事件中，部分链在收到通知前已公开修复信息，导致漏洞细节外泄。KiiChain批评缺乏前置预警、未标记为高危，且沟通延迟。尽管Cosmos Labs遵循常规赏金流程，但对风险评估的合理性仍存疑问，外界难以评判。

持有者行动指南：三步排查当前状态

若持有相关代币，应立即采取三步检查：第一，通过区块浏览器确认链是否仍在出块；第二，核实链团队是否宣布重启及版本更新；第三，查看交易平台是否已恢复充值与提现功能。这三项状态彼此独立，不可混淆。

三种状态需分离看待：链、余额、平台各不相同

链是否运行、您的账户余额是否正常、交易平台能否收发资金，是三个完全不同的维度。一条链可能已暂停，但您的余额未变；另一些平台可能冻结提币，却仍在处理充值。正确区分有助于避免误判资产状态。

识别依赖关系：购买前如何判断链是否共享代码

可通过三大线索预判风险：一是链文档是否提及基于Cosmos SDK并集成EVM模块；二是查看其开源仓库的依赖文件，比对版本号是否在受影响范围内；三是观察是否有公开状态页、安全联系人和过往事件分析记录。这些信息远比宣传口号更能反映链的真实韧性。

税务准备与证据留存：暂停后的关键操作

链暂停本身不构成税务事件，只有当您主动出售或代币消失时才需申报。建议立即保存证据：包括余额截图（含时间戳）、交易哈希、交易所通知及链团队公告。这些材料将在未来税务申报或损失申索中发挥决定性作用。

事件启示：构建抗脆弱链的三重策略

此次事件揭示了共享依赖下的系统性风险。建议采取三步应对：首先，分别核验链运行状态、账户余额与平台接口状态；其次，购前审查链所用外部模块及其版本；最后，将长期持有的代币置于自我托管环境中，脱离第三方控制，实现真正的资产自主权。