Peneliti Mengungkap Kerentanan Zero-Day Kritis CVSS 7.1 pada Lapisan Konsensus Cosmos CometBFT

Pesan Gate News, 22 April — Peneliti keamanan Doyeon Park mengungkap kerentanan zero-day kritis CVSS 7.1 pada lapisan konsensus CometBFT di Cosmos yang dapat menyebabkan node membeku selama sinkronisasi blok, berpotensi memengaruhi jaringan yang mengamankan lebih dari $8 miliar aset. Kerentanan ini tidak dapat secara langsung mencuri dana.

Park memulai proses pengungkapan terkoordinasi pada 22 Februari tetapi menghadapi penolakan dari vendor, yang meminta pengajuan isu GitHub secara publik sambil menolak pengungkapan publik. Pada 4 Maret, HackerOne menandai laporan keduanya sebagai spam. Pada 6 Maret, vendor secara sewenang-wenang menurunkan kerentanan terkait (CVE-2025-24371) menjadi tingkat "informational", mengabaikan standar internasional. Park mengajukan bukti konsep tingkat jaringan untuk menanggapi keputusan ini sebelum mengungkapkan kekurangan tersebut secara publik pada 21 April.

Park merekomendasikan validator Cosmos menghindari melakukan restart node sebelum patch dirilis. Node yang sudah berada dalam mode konsensus dapat terus beroperasi, tetapi restart dan masuk ke sinkronisasi dapat membuat mereka terekspos serangan dari rekan berbahaya, yang berpotensi menyebabkan deadlock.