Interchain Labs, Asymmetric Research, et SEAL Alliance publient un rapport sur une tentative de manipulation sociale contenue liée à la RPDC ; le rapport confirme qu'il n'y a aucun impact sur la sécurité de Cosmos Stack.

New York City, États-Unis – Lundi, 16 juin 2025 – Interchain Labs (ICL), en collaboration avec le Security Alliance (SEAL) et Asymmetric Research (AR), a publié un rapport de sécurité sur les contributions passées aux dépôts Cosmos par un individu plus tard identifié comme lié à la République populaire démocratique de Corée (RPDC). Cet individu a été employé par d’anciens fournisseurs de maintenance Core Stack de mi-2022 à novembre 2024, avant la création d’ICL et la fin du modèle de maintenance tiers. Suite à la formation d’ICL et à sa reprise en main totale des responsabilités de développement du Core Stack, de nouveaux protocoles de sécurité et d’embauche ont été introduits, permettant de découvrir le problème et de prévenir de futures contributions. Le rapport confirme qu’il n’existe aucun risque immédiat ou futur pour l’architecture Cosmos résultant de ces contributions passées.

Une fois l’acteur identifié, ICL et AR ont pris des mesures de sécurité proactives pour s’assurer que les risques d’accès persistants étaient protégés, ainsi que pour éliminer les contributeurs inutiles. La mise en œuvre des politiques d’embauche sécurisées d’ICL a permis de réidentifier cet acteur en tant que nouveau candidat à un emploi chez ICL et son rejet.

Le rapport lui-même a constaté que les contributions et accès de l’individu sous les mainteneurs précédents étaient limités aux dépôts suivants :

• cosmos/IAVL
• cosmos/cosmos-sdk

Après avoir été informé de l’identité de l’individu, ICL a lancé une enquête approfondie en collaboration avec Asymmetric Research (AR), examinant toutes les contributions – indépendamment du statut de déploiement. Ces examens ont conclu que presque tout le code SDK rédigé par cet acteur avait déjà été déprécié ou exclu de la feuille de route lors de la transition post-réorganisation d’ICL, notamment en raison de l’annulation du SDK v2. Lors de l’examen des contributions déjà publiées à IAVL et Cosmos SDK, aucun risque ou vulnérabilité n’a été trouvé après des audits indépendants multi-parties approfondis.

Depuis février, ICL exécute une série de mises à niveau de sécurité dans tous les dépôts clés de Cosmos. Celles-ci incluent la révocation de l’accès hérité, la re-permission de tous les contributeurs, la rotation des identifiants, et la sécurisation de toute intégration ou configuration de jetons. Les permissions GitHub ont été systématiquement renforcées via des jeux de règles appliquant une protection uniforme des branches et des capacités d’audit étendues dans l’ensemble de l’organisation GitHub Cosmos. Ces mesures ont été renforcées à la suite de cet incident.

Pour promouvoir une sécurité et une transparence continues, ICL invite la communauté à participer à la mise en lumière de tout problème négligé associé à l’individu. Pour le mois prochain, la page HackerOne de Cosmos offrira des récompenses de primes doublées pour toute vulnérabilité qualifiante associée au compte GitHub “cool-develope.”

Barry Plunkett, Co-PDG de Interchain Labs, a déclaré : “Des incidents comme celui-ci soulignent le besoin urgent de procédures de sécurité plus largement adoptées et rigoureuses, non seulement au sein de l’écosystème Web3 mais dans tout le paysage technologique plus large. La transparence et la sécurité sont notre priorité absolue au sein de l’écosystème Cosmos. Depuis l’unification du développement du Cosmos Stack sous ICL cette année, nous avons mis à jour et appliqué des normes de sécurité rigoureuses à travers la pile. Cela nous a permis de prévenir toute contribution supplémentaire de l’individu impliqué sous notre direction. Bien que nous n’ayons trouvé aucune indication de code malveillant contribué par l’acteur de la RPDC, nous incitons à un examen communautaire plus approfondi via notre programme de primes, et nous désactiverons complètement le codebase par notre version prévue de l’IAVL v2 qui est une réécriture complète.”

Avec la consolidation de toutes les contributions au Cosmos Stack maintenant concentrées sous Interchain Labs, la Fondation peut mettre en œuvre des pratiques de sécurité plus efficaces et appliquer des garde-fous en matière de ressources humaines pour fournir l’ensemble de la pile avec une défense globale contre l’infiltration, éliminant la dépendance aux prestataires tiers avec des tolérances de risque variables. Ce progrès s’est rapidement manifesté, lorsque le même acteur a tenté de postuler à nouveau sous un nouvel alias pour un rôle d’ingénieur chez ICL plus tôt cette année, et a été rejeté lorsqu’il a été identifié comme un acteur potentiellement malveillant.

Jonathan Claudius, de Asymmetric Research, a déclaré : “Ce cas sert de rappel que les écosystèmes open-source nécessitent une sécurité proactive et continue. Cosmos n’est pas le premier écosystème à être infiltré par des acteurs malveillants et ne sera pas le dernier. La transparence non seulement renforce la confiance, mais met en lumière des leçons que d’autres peuvent appliquer pour renforcer leurs propres systèmes. Ces enseignements bénéficient à l’écosystème plus large et soulignent l’importance des stratégies de défense collaborative et en couches. Une attention accrue à la sécurité proactive, ainsi que des initiatives comme la Security Alliance, aidera à rendre l’espace web3 plus fort et plus résilient.”

Barry Plunkett et Brandon Pate sont disponibles pour commentaires

À propos de Interchain Labs:

Interchain Labs est l’équipe de développement et de croissance pour Cosmos, un réseau décentralisé de blockchains indépendants, évolutifs, durables et interopérables. Cosmos est l’un des plus grands écosystèmes blockchain, avec plus de 250 applications et services et plus de 41 milliards de dollars américains de capitalisation boursière. Interchain Labs dirige le développement pour le Cosmos Hub, l’écosystème Cosmos, et Interchain Stack – une suite logicielle pour construire des blockchains. Interchain Labs s’efforce de construire un Internet plus libre et plus équitable avec la plateforme Cosmos au cœur. Pour de plus amples informations, visitez https://interchain.io/.

À propos de AR

Asymmetric Research (AR) est une entreprise de sécurité de niche spécialisée dans les partenariats à long terme avec les blockchains L1/L2 et les protocoles DeFi. Son travail principal couvre quatre domaines clés de la sécurité Web3 : la recherche, la réponse aux incidents, l’ingénierie et les services d’infrastructure. AR aide les équipes à construire des systèmes résilients, à renforcer leur posture de sécurité, et à traiter de manière proactive les menaces émergentes.

À propos de SEAL

SEAL est une coalition des principales équipes de sécurité et protocoles dans le web3, travaillant ensemble pour élever les normes de sécurité blockchain à travers la collaboration, le partage d’informations et la réponse rapide. En alignant les incitations et en établissant des cadres partagés, SEAL protège l’écosystème des menaces et des exploitations, favorisant un avenir plus sûr et plus résilient pour les technologies décentralisées.

Pour les demandes des médias, veuillez contacter : interchain@wachsman.com

 

 

 

_________________________________________________________________________

Bitcoin.com n’accepte aucune responsabilité ou obligation, et n’est pas responsable, directement ou indirectement, de tout dommage ou perte causé ou prétendument causé par ou en relation avec l’utilisation ou la confiance dans tout contenu, bien ou service mentionné dans l’article.