Los validadores de Cosmos Hub han asegurado 1,23 millones de ATOM obtenidos en un ataque de gobernanza en Neutron, tras detener la red durante unas 24,5 horas y mover los tokens a una billetera de recuperación.
Cosmos Labs dijo en una actualización del 25 de septiembre que el Hub en sí no fue atacado y que los fondos de los usuarios del Hub no se vieron afectados. Los ATOM robados provenían de Neutron, donde una propuesta de gobernanza maliciosa dio al atacante control sobre contratos utilizados por Astroport y otros protocolos.
En el momento de la detención del Hub, 1.227.121 ATOM permanecían en la dirección del atacante. Los validadores reiniciaron la red el 23 de septiembre utilizando Gaia v28.3.0, una actualización de software que trasladó el saldo a una billetera controlada por seis validadores de la comunidad. Cuatro de ellos deben aprobar cualquier transacción desde esa billetera.
Los tokens están retenidos mientras el equipo de recuperación de Neutron prepara un plan. Según el esquema descrito por Cosmos Labs, los firmantes no pueden devolver los fondos hasta que una propuesta de gobernanza de Cosmos Hub autorice la transferencia.
Tras el ataque a Neutron del 22 de septiembre, el atacante envió los activos robados a varias cadenas y comenzó a intercambiar parte del ATOM a través de THORChain, según el reporte de Cosmos Labs. Cerca de 1,73 millones de ATOM llegaron al Hub, donde el atacante podría haber seguido moviéndolos incluso después de que Neutron dejara de producir bloques.
Colaboradores de Neutron y miembros de la comunidad alertaron a los validadores del Hub y a Cosmos Labs alrededor de las 09:50 UTC. Luego, validadores que representaban más de un tercio del poder de voto del Hub detuvieron sus nodos, paralizando la red en el bloque 33.086.740 hacia las 11:18 UTC.
Durante la pausa, Cosmos Labs preparó un cambio de software de una sola vez a petición de los validadores. Su plan por escrito identificaba la dirección del atacante, la billetera de destino, los seis firmantes propuestos y la única cuenta que la actualización afectaría. Los validadores recibieron ese plan antes de que se distribuyera el software parcheado.
Nansen, Keplr, Enigma, Silknodes, Kiln y Polkachu aceptaron custodiar las seis claves de firma. Cosmos Labs dijo que los firmantes verificaron de forma independiente la dirección de la billetera y la confirmaron con una transacción de prueba antes de que los desarrolladores la añadieran a la actualización.
Para el momento del reinicio programado, validadores que representaban más de dos tercios del poder de voto ya habían instalado la v28.3.0. La producción de bloques se reanudó a las 12:00 UTC del 23 de septiembre, y la transferencia de 1.227.121,37 ATOM se hizo efectiva unos seis minutos después. Cosmos Labs dijo que 174 de los 180 validadores del Hub estaban en línea al final de ese día.
Entre los validadores participantes estaban Coinbase y Kraken, según la actualización. Su papel formó parte del reinicio coordinado del software del Hub; Cosmos Labs dijo que posteriormente se informó a los exchanges y otros operadores que los depósitos y retiros podían reanudarse una vez que la red estuviera estable.
El saldo asegurado representa solo el ATOM que todavía estaba en la dirección del atacante en el Hub cuando los validadores detuvieron la cadena. Cosmos Labs dijo que aproximadamente 500.000 ATOM ya habían sido intercambiados por ETH a través de THORChain antes de la detención y no podían recuperarse mediante la actualización del Hub.
Una transacción separada en THORChain devolvió 168.990,9 ATOM a la dirección del atacante poco después de que se reanudara la producción de bloques. El atacante movió ese saldo a Osmosis y lo vendió, según la publicación en el foro.
Cosmos Labs dijo que el posible reembolso fue identificado mientras los validadores se preparaban para reiniciar, después de que el software parcheado ya había sido distribuido e instalado por muchos operadores. La actualización autorizó una única transferencia del saldo presente a la altura del bloque en que se produjo la detención. No bloqueó transacciones posteriores desde la dirección del atacante ni movió fondos que llegaron después del reinicio.
La respuesta del Hub tampoco cubrió los activos enviados a otras redes. Cosmos Labs identificó fondos robados que se habían movido a través de dYdX, Noble, Osmosis, Axelar y cadenas EVM, así como activos que seguían en Neutron. Los equipos a cargo de esas redes están coordinando sus propios esfuerzos de recuperación, dijo la empresa.
Un incidente anterior y separado afectó al software utilizado por otras redes de Cosmos. En agosto, crypto.news informó que atacantes explotaron una falla en Cosmos EVM en seis cadenas y convirtieron los tokens robados en cerca de 5,72 millones de dólares en otros activos. El relato de Cosmos Labs sobre el caso de Neutron describe un ataque de gobernanza en Neutron, no esa falla de Cosmos EVM.
Los seis firmantes han acordado mantener el ATOM recuperado sin hacer staking, prestarlo ni negociarlo, dijo Cosmos Labs. Describen su papel como el de ejecutar una devolución autorizada, en lugar de decidir por su cuenta qué cuentas afectadas deben recibir fondos.
Una propuesta de gobernanza de Cosmos Hub debe ser aprobada antes de que la billetera pueda realizar esa transferencia. El equipo de recuperación de Neutron espera presentar una propuesta la próxima semana, una vez que haya definido el destino propuesto y el proceso de devolución. Los responsables de mantenimiento de Neutron también esperan publicar su relato del ataque a principios de la próxima semana.
El requisito de gobernanza da a los holders de ATOM un papel directo en el siguiente paso. La gobernanza de Cosmos Hub ya ha decidido anteriormente otros asuntos que afectan al token: una propuesta de Osmosis de marzo buscaba convertir OSMO en ATOM y colocar los tokens no reclamados en el community pool del Hub, aunque una votación posterior del Hub rechazó ese plan.
Para la recuperación de Neutron, Cosmos Labs dijo que el ATOM asegurado permanece en la billetera de los validadores mientras se prepara la propuesta. La compañía ha compartido las direcciones del atacante con más de 30 exchanges, bridges y custodios, y dijo que varios han confirmado que bloquearon esas direcciones.
ETH
ATOM