Interchain Labs، أبحاث غير متماثلة، وتحالف SEAL ينشرون تقريراً حول محاولة هندسة اجتماعية مرتبطة بجمهورية كوريا الشعبية الديمقراطية؛ التقرير يؤكد عدم وجود تأثير على أمان منصة كوزموس

مدينة نيويورك، الولايات المتحدة الأمريكية – الاثنين، 16 يونيو، 2025 – نشرت مختبرات إنترتشين (ICL)، بالتعاون مع التحالف الأمني (SEAL) وأبحاث التفاوت (AR)، تقريراً أمنياً حول المساهمات السابقة في مستودعات كوزموس من فرد تم التعرف عليه لاحقاً بكونه مرتبطاً بجمهورية كوريا الديمقراطية الشعبية (DPRK). تم توظيف هذا الفرد من قبل موردي صيانة كور ستاك السابقين من منتصف عام 2022 إلى نوفمبر 2024، قبل تأسيس ICL وإلغاء نموذج الصيانة التابع لجهات خارجية. بعد تشكيل ICL والاستيلاء الكامل على جميع مسؤوليات تطوير الكور ستاك، تم تقديم بروتوكولات توظيف وأمان جديدة كشفت عن المشكلة ومنعت المزيد من المساهمات. أكد التقرير أنه لا توجد مخاطر فورية أو مستقبلية على بنية كوزموس نتيجة لهذه المساهمات السابقة.

عند تحديد هوية الجهة الفاعلة – اتخذت ICL وAR إجراءات أمنية استباقية لضمان الحماية ضد المخاطر المحتملة للوصول المستمر، مع إزالة المساهمين غير الضروريين. أدت تنفيذ سياسات التوظيف الآمنة لـ ICL إلى إعادة تحديد هوية هذا الفاعل كمقدم طلب وظيفة جديد إلى ICL ورفضه.

وجد التقرير نفسه أن مساهمات الفرد والوصول تحت صيانة سابقة كانت محدودة بالمستودعات التالية:

• cosmos/IAVL
• cosmos/cosmos-sdk

بعد علمهم بهوية الفرد، أطلقت ICL تحقيقاً شاملاً بالتعاون مع أبحاث التفاوت (AR)، وراجعت جميع المساهمات – بغض النظر عن الحالة التنفيذية. اختتمت هذه المراجعات بأن جميع رموز SDK التي ألفها هذا الفرد تقريباً قد تم إيقافها أو استبعادها بالفعل من الخطة خلال انتقال ICL بعد الانقسام، خاصة كنتيجة للإلغاء الكامل لـ SDK v2. عند مراجعة المساهمات التي تم إصدارها بالفعل لـ IAVL وSDK كوزموس، لم يتم العثور على أي مخاطر أو ثغرات بعد عمليات تدقيق مستقلة متعددة الأطراف.

منذ فبراير، تقوم ICL بتنفيذ سلسلة من تحديثات الأمان عبر جميع مستودعات كوزموس الأساسية. تشمل هذه التحديثات إلغاء الوصول القديم، وتغيير صلاحيات جميع المساهمين، وتدوير الاعتمادات، وتأمين أي تكاملات أو تكوينات الرموز. قد تم تعزيز صلاحيات GitHub بشكل منهجي من خلال مجموعات القواعد التي تفرض حماية موحدة للفروع وقدرات تدقيق موسعة عبر كامل منظمة كوزموس GitHub. وقد تم تعزيز هذه التدابير في أعقاب هذا الحادث.

لتعزيز الأمان والشفافية المستمرين، تدعو ICL المجتمع للمشاركة في التحقق من أي قضايا غُفل عنها مرتبطة بالفرد. خلال الشهر المقبل، ستقدم صفحة HackerOne الخاصة بكوزموس مكافآت مضاعفة لأي ثغرة مؤهلة مرتبطة بحساب GitHub “cool-develope”.

قال باري بلانكيت، المدير التنفيذي المشارك لمختبرات إنترتشين: “توضح حوادث مثل هذه الحاجة الملحة لاعتماد إجراءات الأمان الأكثر صرامة وشمولاً، ليس فقط داخل نظام Web3 البيئي ولكن عبر مشهد التكنولوجيا الأوسع. الشفافية والأمان هما أولوياتنا القصوى داخل نظام كوزموس الإيكولوجي. منذ توحيد تطوير كوزموس ستاك تحت قيادة ICL هذا العام، قمنا بتحديث وتطبيق معايير أمان صارمة في جميع أنحاء النظام. هذا مكننا من منع أي مساهمات إضافية من الفرد المعني تحت قيادتنا. بينما لم نجد دليلاً على وجود أكواد ضارة من قبل فاعل جمهورية كوريا الديمقراطية الشعبية، فإننا نحفز مزيداً من المراجعة من قبل المجتمع من خلال برنامج المكافآت لدينا، وسنقوم بإلغاء قاعدة الأكواد بالكامل من خلال الإصدارات المخطط لها من IAVL v2 التي تعد إعادة كتابة كاملة.”

مع تركز جميع المساهمات في كوزموس ستاك الآن تحت مختبرات إنترتشين، يمكن للمؤسسة تنفيذ ممارسات أمان أكثر كفاءة وفرض حواجز الموارد البشرية لتوفير الحماية الكاملة للنظام ضد الاختراق، مما يلغي الاعتماد على مزودي الطرف الثالث مع تفاوتات في درجة المخاطر. ظهر هذا التقدم بسرعة، عندما حاول نفس الفاعل إعادة التقدم تحت اسم مستعار جديد إلى ICL للحصول على دور هندسي في وقت سابق من هذا العام، وتم رفضه عندما تم تحديده كفاعل محتمل ضار.

قال جوناثان كلاوديوس، من أبحاث التفاوت: “تعمل هذه الحالة كتذكير بأن النظم الإيكولوجية مفتوحة المصدر تتطلب أمانًا استباقيًا مستمرًا. لن يكون كوزموس هو النظام الأول الذي يتم اختراقه بواسطة فاعلين ضارين ولن يكون الأخير. الشفافية لا تبني الثقة فقط، بل تجعل الدروس بارزة التي يمكن اعتما