Na-secure ng mga validator ng Cosmos Hub ang 1.23 milyong ATOM na nakuha sa isang governance attack sa Neutron matapos ihinto ang network nang humigit-kumulang 24.5 oras at ilipat ang mga token sa isang recovery wallet.

Sinabi ng Cosmos Labs sa isang update noong Set. 25 na ang Hub mismo ay hindi inatake at hindi naapektuhan ang mga pondo ng mga user ng Hub. Ang ninakaw na ATOM ay nagmula sa Neutron, kung saan isang malicious governance proposal ang nagbigay sa attacker ng kontrol sa mga contract na ginagamit ng Astroport at iba pang protocol.

Noong oras na itinigil ang Hub, 1,227,121 ATOM ang nananatili sa address ng attacker. Muling pinaandar ng mga validator ang network noong Set. 23 gamit ang Gaia v28.3.0, isang software update na naglipat ng balanse sa isang wallet na kontrolado ng anim na community validator. Apat sa kanila ang kailangang mag-apruba ng anumang transaksyon mula sa wallet na iyon.

Hinahawakan ang mga token habang naghahanda ng plano ang recovery team ng Neutron. Sa ilalim ng ayos na inilarawan ng Cosmos Labs, hindi maibabalik ng mga signer ang mga pondo hangga’t walang governance proposal ng Cosmos Hub na mag-a-authorize sa paglilipat.

Napigilan ng paghinto ng Cosmos Hub ang paglabas ng natitirang ATOM

Matapos ang pag-atake sa Neutron noong Set. 22, ipinadala ng attacker ang mga ninakaw na asset sa ilang chain at nagsimulang i-swap ang ilan sa ATOM sa pamamagitan ng THORChain, ayon sa ulat ng Cosmos Labs. Humigit-kumulang 1.73 milyong ATOM ang nakarating sa Hub, kung saan maaari pa sanang ipagpatuloy ng attacker ang paglilipat nito kahit matapos tumigil ang Neutron sa pag-produce ng mga block.

Inalerto ng mga contributor ng Neutron at mga miyembro ng komunidad ang mga validator ng Hub at ang Cosmos Labs bandang 09:50 UTC. Pagkatapos, itinigil ng mga validator na kumakatawan sa mahigit isang-katlo ng voting power ng Hub ang kanilang mga node, kaya nahinto ang network sa block 33,086,740 bandang 11:18 UTC.

Habang naka-pause, naghanda ang Cosmos Labs ng isang one-time software change sa kahilingan ng mga validator. Tinukoy sa nakasulat nitong plano ang address ng attacker, ang destination wallet, ang anim na iminungkahing signer, at ang nag-iisang account na maaapektuhan ng update. Natanggap ng mga validator ang planong iyon bago i-distribute ang patched software.

Pumayag ang Nansen, Keplr, Enigma, Silknodes, Kiln at Polkachu na humawak sa anim na signing key. Sinabi ng Cosmos Labs na independiyenteng sinuri ng mga signer ang wallet address at bineripika ito gamit ang isang test transaction bago ito idagdag ng mga developer sa update.

Pagsapit ng nakatakdang restart, na-install na ng mga validator na kumakatawan sa mahigit dalawang-katlo ng voting power ang v28.3.0. Nagpatuloy ang block production sa 12:00 UTC noong Set. 23, at ang paglilipat ng 1,227,121.37 ATOM ay nagkabisa mga anim na minuto matapos nito. Sinabi ng Cosmos Labs na 174 sa 180 validator ng Hub ang online bago matapos ang araw na iyon.

Kabilang sa mga nakilahok na validator ang Coinbase at Kraken, ayon sa update. Ang kanilang papel ay bahagi ng coordinated software restart ng Hub; sinabi ng Cosmos Labs na ipinaalam kalaunan sa mga exchange at iba pang operator na maaari nang ipagpatuloy ang deposits at withdrawals kapag naging stable na ang network.

May ilang ATOM na umalis bago at pagkatapos ng restart

Ang na-secure na balanse ay kumakatawan lamang sa ATOM na nasa Hub address pa ng attacker noong ihinto ng mga validator ang chain. Sinabi ng Cosmos Labs na humigit-kumulang 500,000 ATOM ang na-swap na sa ETH sa pamamagitan ng THORChain bago ang paghinto at hindi na ito mare-recover sa pamamagitan ng update ng Hub.

Isang hiwalay na transaksyon sa THORChain ang nagbalik ng 168,990.9 ATOM sa address ng attacker ilang sandali matapos magpatuloy ang block production. Inilipat ng attacker ang balanse na iyon sa Osmosis at ibinenta ito, ayon sa forum post.

Sinabi ng Cosmos Labs na natukoy ang posibleng refund habang naghahanda ang mga validator para sa restart, matapos maipamahagi at ma-install ng maraming operator ang patched software. In-authorize ng update ang isang beses na paglilipat ng balanseng naroroon sa halt height. Hindi nito hinarang ang mga sumunod na transaksyon mula sa address ng attacker o inilipat ang mga pondong dumating matapos ang restart.

Hindi rin saklaw ng tugon ng Hub ang mga asset na ipinadala sa ibang network. Tinukoy ng Cosmos Labs ang mga ninakaw na pondong dumaan sa dYdX, Noble, Osmosis, Axelar at mga EVM chain, pati na rin ang mga asset na nasa Neutron pa rin. Ang mga team na nangangasiwa sa mga network na iyon ay nagko-coordinate ng kani-kanilang recovery effort, ayon sa kumpanya.

Isang naunang hiwalay na insidente ang nakaapekto sa software na ginagamit ng iba pang Cosmos network. Noong Agosto, iniulat ng crypto.news na in-exploit ng mga attacker ang isang Cosmos EVM flaw sa anim na chain at kinonvert ang mga ninakaw na token sa humigit-kumulang $5.72 milyon sa iba pang asset. Ang ulat ng Cosmos Labs sa kaso ng Neutron ay tumutukoy sa isang governance attack sa Neutron, hindi sa Cosmos EVM flaw na iyon.

Nakasalalay ang pagbabalik ng ATOM sa governance vote ng Hub

Ang anim na signer ay pumayag na hawakan ang na-recover na ATOM nang hindi ito i-sstake, ipapahiram, o ite-trade, ayon sa Cosmos Labs. Inilarawan nila ang kanilang papel bilang pagsasagawa ng isang authorized return, sa halip na sila mismo ang magpasya kung aling mga apektadong account ang dapat makatanggap ng mga pondo.

Kailangang maipasa muna ang isang governance proposal ng Cosmos Hub bago maisagawa ng wallet ang paglilipat na iyon. Inaasahan ng recovery team ng Neutron na magsumite ng proposal sa susunod na linggo, kapag nailatag na nito ang iminungkahing destinasyon at proseso ng pagbabalik. Inaasahan din ng mga maintainer ng Neutron na ilathala ang kanilang ulat tungkol sa pag-atake sa unang bahagi ng susunod na linggo.

Ang requirement sa governance ay nagbibigay sa mga holder ng ATOM ng direktang papel sa susunod na hakbang. Dati nang nagpasya ang governance ng Cosmos Hub sa iba pang usaping may epekto sa token: isang proposal ng Osmosis noong Marso ang naghangad na i-convert ang OSMO sa ATOM at ilagay ang mga hindi na-claim na token sa community pool ng Hub, bagaman tinanggihan ng sumunod na boto ng Hub ang planong iyon.

Para sa recovery ng Neutron, sinabi ng Cosmos Labs na nananatili ang na-secure na ATOM sa validator wallet habang inihahanda ang proposal. Ibinahagi na ng kumpanya ang mga address ng attacker sa mahigit 30 exchange, bridge, at custodian, at sinabing kinumpirma ng ilan na hinarangan nila ang mga address na iyon.