نجح المدققون في Cosmos Hub في تأمين 1.23 مليون ATOM جرى الاستيلاء عليها في هجوم حوكمة على Neutron، بعد إيقاف الشبكة لنحو 24.5 ساعة ونقل الرموز إلى محفظة استرداد.

قالت Cosmos Labs في تحديث بتاريخ 25 سبتمبر إن الـ Hub نفسها لم تتعرض لهجوم وإن أموال مستخدمي Hub لم تتأثر. وجاءت رموز ATOM المسروقة من Neutron، حيث منح مقترح حوكمة خبيث المهاجم السيطرة على العقود المستخدمة من قبل Astroport وبروتوكولات أخرى.

عند وقت إيقاف الـ Hub، كان 1,227,121 ATOM لا يزال في عنوان المهاجم. وأعاد المدققون تشغيل الشبكة في 23 سبتمبر باستخدام Gaia v28.3.0، وهو تحديث برمجي نقل الرصيد إلى محفظة يسيطر عليها ستة مدققين من المجتمع. ويجب أن يوافق أربعة منهم على أي معاملة تصدر من تلك المحفظة.

ويجري الاحتفاظ بالرموز بينما يُعد فريق استرداد Neutron خطة للتعامل معها. وبموجب الترتيب الذي وصفته Cosmos Labs، لا يمكن للموقّعين إعادة الأموال حتى يجيز مقترح حوكمة على Cosmos Hub هذا التحويل.

إيقاف Cosmos Hub منع خروج ما تبقى من ATOM

بعد هجوم Neutron في 22 سبتمبر، أرسل المهاجم الأصول المسروقة إلى عدة سلاسل وبدأ في مبادلة بعض رموز ATOM عبر THORChain، بحسب رواية Cosmos Labs. ووصل نحو 1.73 مليون ATOM إلى الـ Hub، حيث كان بإمكان المهاجم مواصلة نقلها حتى بعد توقف Neutron عن إنتاج الكتل.

ونبّه مساهمو Neutron وأعضاء المجتمع مدققي Hub وCosmos Labs قرابة الساعة 09:50 بالتوقيت العالمي المنسق. ثم أوقف المدققون الذين يمثلون أكثر من ثلث قوة التصويت في Hub عقدهم، ما أدى إلى توقف الشبكة عند الكتلة 33,086,740 قرابة الساعة 11:18 بالتوقيت العالمي المنسق.

وخلال فترة التوقف، أعدّت Cosmos Labs تغييرًا برمجيًا لمرة واحدة بناءً على طلب المدققين. وحددت خطتها المكتوبة عنوان المهاجم، ومحفظة الوجهة، والموقّعين الستة المقترحين، والحساب الوحيد الذي سيتأثر بالتحديث. وتلقى المدققون تلك الخطة قبل توزيع البرمجيات المصححة.

ووافقت Nansen وKeplr وEnigma وSilknodes وKiln وPolkachu على الاحتفاظ بمفاتيح التوقيع الستة. وقالت Cosmos Labs إن الموقّعين تحققوا بشكل مستقل من عنوان المحفظة وأكدوه عبر معاملة اختبارية قبل أن يضيفه المطورون إلى التحديث.

وبحلول موعد إعادة التشغيل المقرر، كان المدققون الذين يمثلون أكثر من ثلثي قوة التصويت قد ثبّتوا الإصدار v28.3.0. واستؤنف إنتاج الكتل عند الساعة 12:00 بالتوقيت العالمي المنسق في 23 سبتمبر، ودخل تحويل 1,227,121.37 ATOM حيز التنفيذ بعد ذلك بنحو ست دقائق. وقالت Cosmos Labs إن 174 من أصل 180 مدققًا في Hub كانوا متصلين بالشبكة بحلول نهاية ذلك اليوم.

ووفقًا للتحديث، شمل المدققون المشاركون كلًا من Coinbase وKraken. وكان دورهم جزءًا من إعادة التشغيل البرمجية المنسقة للـ Hub؛ وقالت Cosmos Labs إنه جرى لاحقًا إبلاغ البورصات والمشغلين الآخرين بإمكانية استئناف الإيداعات والسحوبات بمجرد استقرار الشبكة.

غادرت بعض رموز ATOM قبل إعادة التشغيل وبعدها

يمثل الرصيد المؤمّن فقط رموز ATOM التي ظلت في عنوان المهاجم على Hub عندما أوقف المدققون السلسلة. وقالت Cosmos Labs إن نحو 500,000 ATOM كانت قد استُبدلت بالفعل مقابل ETH عبر THORChain قبل التوقف، ولم يكن من الممكن استردادها من خلال تحديث Hub.

وأعادت معاملة منفصلة على THORChain مقدار 168,990.9 ATOM إلى عنوان المهاجم بعد وقت قصير من استئناف إنتاج الكتل. ووفقًا للمنشور في المنتدى، نقل المهاجم ذلك الرصيد إلى Osmosis وقام ببيعه.

وقالت Cosmos Labs إنه تم تحديد احتمال هذا الاسترداد أثناء استعداد المدققين لإعادة التشغيل، بعد أن كانت البرمجيات المصححة قد وُزعت وثُبتت بالفعل من قبل كثير من المشغلين. وقد أجاز التحديث تحويلًا واحدًا فقط للرصيد الموجود عند ارتفاع التوقف. ولم يمنع المعاملات اللاحقة من عنوان المهاجم أو ينقل الأموال التي وصلت بعد إعادة التشغيل.

كما أن استجابة Hub لم تشمل الأصول التي أُرسلت إلى شبكات أخرى. وحددت Cosmos Labs أموالًا مسروقة انتقلت عبر dYdX وNoble وOsmosis وAxelar وسلاسل EVM، إلى جانب أصول لا تزال على Neutron. وقالت الشركة إن الفرق المسؤولة عن تلك الشبكات تنسق جهود الاسترداد الخاصة بها.

وكانت حادثة منفصلة سابقة قد أثرت على برمجيات مستخدمة من قبل شبكات Cosmos أخرى. ففي أغسطس، أفاد crypto.news بأن مهاجمين استغلوا ثغرة في Cosmos EVM عبر ست سلاسل وحولوا الرموز المسروقة إلى أصول أخرى بقيمة تقارب 5.72 مليون دولار. وتوضح رواية Cosmos Labs لحالة Neutron أنها كانت هجوم حوكمة على Neutron، وليس تلك الثغرة في Cosmos EVM.

إعادة ATOM تعتمد على تصويت حوكمة في Hub

وقالت Cosmos Labs إن الموقّعين الستة وافقوا على الاحتفاظ برموز ATOM المستردة من دون رهنها أو إقراضها أو تداولها. وهم يصفون دورهم بأنه تنفيذ لعملية إعادة مصرح بها، لا اتخاذ قرار بأنفسهم بشأن الحسابات المتضررة التي ينبغي أن تتلقى الأموال.

ويجب أن يمر مقترح حوكمة على Cosmos Hub قبل أن تتمكن المحفظة من إجراء ذلك التحويل. ويتوقع فريق استرداد Neutron تقديم مقترح خلال الأسبوع المقبل، بعد أن يحدد الوجهة المقترحة وآلية الإعادة. كما يتوقع القائمون على Neutron نشر روايتهم الخاصة للهجوم في مطلع الأسبوع المقبل.

ويمنح شرط الحوكمة حاملي ATOM دورًا مباشرًا في الخطوة التالية. وكانت حوكمة Cosmos Hub قد حسمت سابقًا مسائل أخرى تؤثر في الرمز: إذ سعى مقترح من Osmosis في مارس إلى تحويل OSMO إلى ATOM ووضع الرموز غير المطالب بها في مجمع المجتمع الخاص بـ Hub، إلا أن تصويتًا لاحقًا في Hub رفض تلك الخطة.

وفيما يتعلق باسترداد Neutron، قالت Cosmos Labs إن رموز ATOM المؤمّنة لا تزال في محفظة المدققين بينما يجري إعداد المقترح. وقد شاركت الشركة عناوين المهاجم مع أكثر من 30 بورصة وجسرًا وأمين حفظ، وقالت إن عددًا منها أكد أنه حظر تلك العناوين.