共用框架風險跟單一協定被駭有什麼不同？
單一協定被駭，受害範圍是那個協定的使用者；共用框架出問題，受害範圍是所有採用它的鏈，而且這些鏈彼此獨立營運，修補進度各不相同。Cosmos EVM 的情況是同一個缺陷在六條鏈上各自被利用，每條鏈的團隊都得自己決定停不停鏈、何時升級。風險因此從『一個團隊的程式碼品質』變成『一個上游維護者的揭露流程加上下游每個團隊的反應速度』。
靜默修補為什麼會成為一種慣例？
開源專案常用的邏輯是：修補檔先進主分支、版本說明寫得簡短，避免在使用者來得及升級前就向攻擊者宣告漏洞存在。這在漏洞只影響少數人、或沒有資金風險時有道理。問題是當漏洞可以直接轉走資金，而且上游沒有可靠的下游清單時，靜默修補就變成一場賭注，賭攻擊者不會比營運者先讀 diff。Cosmos Labs 報告的 37 次靜默修補代表它長期依賴這個賭注。
整數下溢是怎麼把餘額變成天文數字的？
電腦用固定位數存整數。256 位元的無號整數最小是 0，如果程式從 0 再減 1 又沒有檢查，結果不會是負數，而是繞回最大值，約 2 的 256 次方。這次的情況是 vesting 帳戶委託的金額超過可動用餘額，減法沒有守衛，餘額就繞回最大值，後續的對帳邏輯再配合溢位，把別人的代幣移走。修法並不複雜，就是在減法前先檢查餘額夠不夠，Cosmos 的修補檔 #1176 就是這種下溢防護。
一般持幣者怎麼判斷自己持有的鏈有沒有這類風險？
三個可以查的公開訊號：這條鏈的底層是不是 Cosmos EVM 或其他大型共用框架，官方文件通常會寫；它的節點軟體版本是否跟上上游的安全公告，區塊瀏覽器或治理提案常能看到升級紀錄；以及團隊遇到事故時是否發過事後報告。Cosmos 這次，KiiChain 在 8 月 23 日就發了事後報告，比上游早 5 天，這種透明度是判斷團隊成熟度的一個線索。
2026 年 8 月 20 日到 25 日，六條 Cosmos 生態系的區塊鏈接連被同一個漏洞攻擊，Cosmos Labs 估計被賣出的資產約 570 萬美元。金額不算大，但這起事件把一個常被輕輕帶過的結構問題攤開了：當幾十條鏈共用同一份開源框架，一個漏洞就是幾十條鏈的漏洞，而修補的時間差，就是攻擊者的窗口。
出問題的是 Cosmos EVM，也就是讓 Cosmos 鏈執行以太坊風格應用的共用框架，程式碼源自 Evmos。根據 The Block 與 The Hacker News 的整理，攻擊串接了兩個缺陷：先是一個整數下溢，讓某個帳戶的餘額被灌成 256 位元的最大值；再利用溢位，把目標帳戶的代幣轉到攻擊者手上。The Hacker News 的說明是，鎖定中的歸屬（vesting）帳戶委託的金額超過可動用餘額，而減法沒有檢查，餘額就繞回約 2 的 256 次方。這條攻擊路徑還需要鏈允許任何人建立 vesting 帳戶。MANTRA 表示它的供應量只變動了一個基本單位，也就是說，沒有憑空鑄幣，是把別人的錢搬走。
4 月 25 日，一名研究者透過賞金計畫通報了這個缺陷；Cosmos Labs 當時判斷不會危及上線網路的資金，原因是測試團隊在實際鏈使用的設定上無法重現。5 月 15 日與 20 日，相關修補併入主分支。8 月 13 日前後，Cosmos Labs 確認所有 Cosmos EVM 鏈都受影響，與小數位數設定無關。8 月 19 日，v0.6.2 與 v0.7.2 釋出。8 月 20 日清晨，Push Chain 的一個分叉在公開的 pull request 中描述了漏洞與利用路徑；同日晚間 19:06（UTC），MANTRA 遭到第一次攻擊，距離那個公開 PR 約 11 到 12 小時。Cosmos Labs 的第一次私下通知，是 8 月 21 日凌晨 03:36，約在 MANTRA 回報被攻擊的兩小時後。8 月 28 日，Cosmos Labs 發布事後檢討。
Cosmos Labs 自己的賞金政策寫明，對全網風險會在公開前先啟動緊急緩解、私下分發修補或協調升級。但這次團隊把修補視為已經公開且沒有已知利用，選擇了靜默修補流程。The Hacker News 報導，Cosmos Labs 在過去 13 個月靜默修補了 37 個漏洞，而 v0.6.2 與 v0.7.2 的版本說明沒有列出相關的安全 PR。一份公開的修補檔，本身就是一張攻擊地圖：攻擊者只要讀 diff，就能反推漏洞在哪裡。更糟的是，有 11 個部署從未向 Cosmos Labs 的安全通報管道登記，團隊手上也沒有一份完整的、使用其軟體的網路清單，所以即使想私下通知，也找不全人。
受害鏈之一 TAC 在 8 月 22 日宣布與驗證者協調，暫停整條鏈的出塊，最後一個被記者看到的區塊是 24,671,475。TAC 說被利用的漏洞位於其 Cosmos EVM 端，且只影響 TAC 代幣供應；它沒有公布漏洞元件、利用交易或損失金額，也沒有給出重啟時間表。這是一個很典型的處境：當漏洞出在底層共用框架，鏈團隊往往無法只隔離受影響的模組，只能整條停。
如果你的資產放在某條 Cosmos 生態鏈，或任何建立在共用開源框架上的鏈，風險不只來自那條鏈自己的團隊，還來自框架維護者的揭露流程。實際可以做的判斷有三點：一是看這條鏈有沒有跟進最新的框架版本，以及版本說明是否交代安全修補；二是留意該鏈過去是否有因漏洞暫停出塊的紀錄，以及重啟是否公開透明；三是不要把大額資金長期放在單一小型鏈上，尤其是剛好依賴一個剛爆出漏洞的框架。KiiChain 表示若網路恢復，被取走的 KII 約有 54% 可在鏈上追回，但截至 8 月 28 日 MANTRA 表示尚未追回任何代幣，所以事後補救不是你能依賴的保障。