Cosmos 生態系面臨停機危機！安全研究員 Doyeon Park 今（21）日公開吹哨，揭露 Cosmos 共識層（CometBFT）存在高危 0-day 漏洞，恐導致節點在區塊同步時死鎖。令人震驚的是，Cosmos 官方不僅忽視該研究員提供的 PoC 鐵證，甚至將通報標記為垃圾郵件、惡意降低漏洞評級以規避發放獎金。忍無可忍之下，研究員決定公開技術細節，並緊急呼籲全網驗證者：「絕對不要重啟節點！」
（前情提要：Ledger CTO 警告：2026 是最糟駭客年， DeFi 單簽架構埋系統性危機）
（背景補充：半年抓 100 名北韓 IT 駭客、追回 580 萬美元，以太坊基金會安全計畫報告）
加密貨幣圈的資安防線，有時最大的敵人不是駭客，而是專案方的傲慢。
保護著超過 80 億美元資產的 Cosmos 生態系，今日爆發了嚴重的資安通報爭議。安全研究員 Doyeon Park（@p6rkdoye0n）在社群平台 X 上發布長文，正式公開了 Cosmos 共識層（CometBFT）的一個 0-day 漏洞，並強烈抨擊官方團隊極度不負責任的處理態度。
I’m disclosing a 0-day vulnerability in the Cosmos consensus layer (CometBFT).
This is a CVSS 7.1 (High) severity issue that can cause nodes in the Cosmos ecosystem—which secures over $8B+ in assets—to stall during the block synchronization phase. However, direct asset theft is… pic.twitter.com/89XeHmvjBK
— Doyeon Park (@p6rkdoye0n) April 21, 2026
高危險 0-day 漏洞，恐致節點「死鎖停機」
據 Doyeon Park 披露，這個漏洞的嚴重程度達到 CVSS 7.1（高危險）。雖然該漏洞無法被用來直接竊取用戶資產，但會導致網路陷入嚴重的癱瘓危機。
為了保護生態系，他在公開技術細節的同時，發布了緊急的「驗證者生存指南（Validator Survival Guide）」。他強烈建議 Cosmos 生態系的節點營運商，在官方釋出修補程式之前，盡可能避免重啟節點。
他解釋道：
「已經處於共識模式的節點可以正常運作；但如果重啟並進入『區塊同步程序（block sync phase）』，該漏洞就可能被觸發，遭惡意節點攻擊而導致死鎖（deadlock），使節點永遠無法重新加入網路。」
怒控官方擺爛：無視鐵證、亂砍評級避發獎金
Doyeon Park 表示，自己一直試圖遵循協調式漏洞揭露（CVD）的正規程序，但最終選擇「公開吹哨」，完全是因為 Cosmos 官方的消極與不作為。他詳細列出了與官方交涉的離譜過程：
- 無視 PoC 鐵證：在他 2 月首次回報後，廠商竟指示他直接在 GitHub 發布公開 Issue，聲稱「攻擊不可行」。當 Doyeon 提供網路層級的 PoC（概念驗證）徹底反駁官方說法後，官方直接選擇已讀不回。
- 惡意降低過往評級：更誇張的是，官方擅自將另一個具有同等破壞力的 1-day 漏洞（CVE-2025-24371）降級為「資訊性（可能發生但影響可忽略）」，完全無視國際公認的 MITRE 與 CVSS 標準。Doyeon 痛批，這明顯是為了淡化嚴重性，藉此規避給予研究員適當的認可與漏洞獎金。
- 把高危通報當垃圾郵件：當他在 3 月透過 HackerOne 回報另一個更嚴重的漏洞時，官方竟在完全沒有技術審核的情況下，直接將其標記為「垃圾郵件（Spam）」。就連資安救援團隊 SEAL 911 介入協調，官方依然故我。
為了生態透明度而吹哨
在歷經近兩個月的無效溝通後，Doyeon Park 決定在 4 月 21 日公開這份 0-day 漏洞的技術細節與影片證據（並未釋出可直接攻擊的完整程式碼，以防遭惡意利用）。他沈痛地表示：
「這次揭露的目的是保護生態系，而非傷害它。所有的安全風險責任完全由廠商承擔。」
📍相關報導📍
快訊》NEAR 生態 Rhea Finance 遭駭 760 萬美元！駭客造假代幣「操縱預言機」
