TechFlow tin tức, ngày 16 tháng 10, All in Bits - đơn vị xây dựng hệ sinh thái Cosmos - đã tiết lộ nguyên nhân gốc rễ của một vấn đề bảo mật nghiêm trọng trong mô-đun staking lưu động (LSM) của Cosmos Hub. Kết quả điều tra cho thấy phần lớn mã nguồn LSM được viết bởi các nhà phát triển có liên hệ với Triều Tiên.
Theo báo cáo từ All in Bits, các vấn đề cốt lõi của LSM bao gồm: 1) Vẫn tồn tại lỗi thiết kế cho phép né tránh việc phạt thu (slashing); 2) LSM không phải là một mô-đun độc lập, mà là chuỗi thay đổi đối với các mô-đun staking, phân bổ và phạt thu hiện có, do đó có thể ảnh hưởng đến toàn bộ ATOM đang staking; 3) Hơn 19 tháng thay đổi mã nguồn chưa từng được kiểm toán; 4) Người đứng đầu dự án Zaki Manian và công ty Iqlusion đã đưa ra những thông tin sai lệch nghiêm trọng; 5) Interchain Foundation (ICF), Stride Labs và Informal Systems thiếu minh bạch trong quá trình thúc đẩy dự án.
Khảo sát cho thấy việc phát triển LSM bắt đầu từ tháng 8 năm 2021, do Zaki Manian và Iqlusion dẫn dắt. Tuy nhiên, phần lớn mã nguồn thực tế được viết bởi Jun Kai và Sarawut Sanit – hai lập trình viên sau này bị xác định có liên hệ với Triều Tiên. Dù báo cáo kiểm toán của Oak Security vào tháng 7 năm 2022 đã chỉ ra các lỗ hổng quan trọng, đặc biệt là vấn đề né tránh phạt thu, nhưng những lỗ hổng này vẫn chưa được giải quyết triệt để. Thêm vào đó, Zaki Manian dù đã biết về mối liên hệ với Triều Tiên của các lập trình viên từ tháng 3 năm 2023 nhưng đã không công khai thông tin quan trọng này với cộng đồng Cosmos. Ngược lại, vào tháng 4 năm 2023, ông tiếp tục thúc đẩy đề xuất tín hiệu cho LSM, tuyên bố mô-đun đã "hoàn thành", hành vi này bị All in Bits đánh giá là tuyên bố sai sự thật nghiêm trọng và thiếu sót nặng nề.
All in Bits kiến nghị thực hiện ngay các biện pháp khẩn cấp sau: 1) Sửa chữa ngay lập tức các lỗ hổng bảo mật chính trong cơ chế staking của LSM; 2) Tiến hành kiểm toán an ninh toàn diện và tức thì đối với LSM; 3) Công bố đầy đủ lộ trình điều tra về sự tham gia của các đặc vụ Triều Tiên; 4) Đưa các bên liên quan thuộc ICF vào danh sách đen; 5) Thiết lập giao thức kiểm toán và giám sát mới cho các dự án được tài trợ bởi ICF.
