Hoe bleef de Cosmos hack vier maanden onder de radar?

Marktcontext per 07.48 CET. ATOM noteert 1,49 dollar, ongeveer 2 procent onder de 24-uurs high van 1,52 dollar en net boven de 24-uurs low van 1,48 dollar. Het 24-uurs handelsvolume op Kraken bedraagt bijna 78.465 ATOM. De marktkapitalisatie van Cosmos staat op 785,7 miljoen dollar, een daling van 1,4 procent in 24 uur. Bron, Kraken en CoinGecko.

Wat ging mis bij de Cosmos hack

De kern van de Cosmos hack zit in een technische aanname die niet klopte. Cosmos EVM is de module die smart contracts mogelijk maakt op tientallen chains binnen het Cosmos-ecosysteem, van MANTRA tot KiiChain. Ze houdt per account een spendable balance bij, een saldo dat vrij besteedbaar is. Vesting accounts hebben een locked balance. Dat saldo staat apart vast in de Cosmos SDK. Normaal mag het niet worden aangesproken. Wie via de staking precompile toch meer delegeert dan zijn vrije saldo, veroorzaakt een underflow. Het saldo omslaat dan naar een getal van bijna 2 tot de macht 256. Daarna volgt een tweede fout. Een overflow boekt dat astronomische bedrag over naar een ander account, waarna de aanvaller het tegoed van dat account leegtrekt. De tokenvoorraad blijft op papier ongewijzigd. Niets viel dus meteen op.

Cosmos Labs testte de bug destijds alleen op chains met 18 decimalen, de gangbare configuratie destijds. Reproduceren lukte niet. Het team concludeerde dat live netwerken veilig waren en koos voor een stil, publiek patchproces zonder aparte waarschuwing aan chain-operators. Die conclusie hield tot augustus stand. Toen toonden onafhankelijke onderzoekers aan dat de fout alle Cosmos EVM-configuraties raakte, ongeacht het aantal decimalen.

Op 19 augustus verscheen alsnog een patch, met release notes die angstvallig vaag bleven over de werkelijke ernst. Een dag later plaatste een ontwikkelaar van Push Chain het volledige exploitpad online, op GitHub, voor iedereen leesbaar. Binnen 20 uur volgde de eerste aanval bij MANTRA, TAC en KiiChain volgden twee dagen later. Zes chains verloren 5,7 miljoen dollar. 2,87 miljoen dollar verdween via decentrale exchanges. Dat geld is voorgoed weg. De rest, 2,85 miljoen dollar, landde op gecentraliseerde platforms waar de rekeningen inmiddels zijn bevroren.

De schade blijft klein vergeleken met eerdere bridge-hacks, maar de asymmetrie tussen aankondiging en risico is hier het echte verhaal. Cosmos telt volgens de eigen post mortem meer dan 115 publieke chains die op dezelfde software voortbouwen. Sommige zijn groot, andere obscuur. Bitcoin kent dat risico niet. Het draait op een enkele keten, zonder gedeelde smart contract module. Elf implementaties van Cosmos EVM stonden niet eens geregistreerd bij het beveiligingsteam toen de aanvallen begonnen. ATOM hield intussen stand. Het token van de Cosmos Hub daalde in dezelfde periode slechts 1,5 procent, tegenover een marktkapitalisatie van 785,7 miljoen dollar. De markt trekt een scherpe grens tussen een softwareprobleem en een Hub-probleem, waar toezichthouders nog geen raamwerk voor hebben.

Wat dit betekent voor de Nederlandse belegger

Onder de MiCA-herziening moeten EU-gereguleerde platforms zoals Bitvavo aantoonbare bewaar- en beveiligingsprocedures voeren voor ieder token dat ze aanbieden. Bitvavo noteert ATOM wel. Toegang tot MANTRA, TAC of KiiChain ontbreekt. Dat risico bleef beperkt voor Nederlandse gebruikers. Wie zelf via een niet-custodiale wallet of een buitenlandse DeFi-app in kleinere Cosmos-chains zit, valt buiten dat MiCA-schild. Een vangnet ontbreekt dan volledig.

Illustratief, geen advies. Bij een positie van 1.000 euro in ATOM scheelt de koersdaling van 1,5 procent ongeveer 15 euro op 24-uurs basis. Bij eenzelfde bedrag in een niet-genoteerde MANTRA-positie had de schade in het slechtste geval tientallen procenten kunnen bedragen. Precies dat verschil is waarom de AFM blijft waarschuwen voor het gat tussen gereguleerde platforms en losse smart contracts.

Voor ATOM-houders is 1,48 dollar het niveau om te bewaken, de actuele 24-uurs low op Kraken. Zakt de koers daar structureel onder, dan prijst de markt alsnog reputatieschade voor de bredere Cosmos-software in. Blijft ATOM boven dat niveau, zoals nu het geval is, dan blijft dit een geïsoleerd Cosmos EVM probleem. Cosmos Labs belooft in de post mortem een extern beveiligingsaudit, zonder vaste datum. Hou de GitHub-advisories in de gaten.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.