Les validateurs de Cosmos Hub ont sécurisé 1,23 million d’ATOM dérobés lors d’une attaque de gouvernance sur Neutron, après avoir arrêté le réseau pendant environ 24,5 heures et transféré les tokens vers un portefeuille de récupération.

Cosmos Labs a indiqué dans une mise à jour du 25 septembre que le Hub lui-même n’avait pas été attaqué et que les fonds des utilisateurs du Hub n’avaient pas été affectés. Les ATOM volés provenaient de Neutron, où une proposition de gouvernance malveillante a donné à l’attaquant le contrôle de contrats utilisés par Astroport et d’autres protocoles.

Au moment de l’arrêt du Hub, 1 227 121 ATOM se trouvaient encore à l’adresse de l’attaquant. Les validateurs ont redémarré le réseau le 23 septembre en utilisant Gaia v28.3.0, une mise à jour logicielle qui a transféré le solde vers un portefeuille contrôlé par six validateurs de la communauté. Quatre d’entre eux doivent approuver toute transaction émise depuis ce portefeuille.

Les tokens sont conservés pendant que l’équipe de récupération de Neutron prépare un plan. Selon le dispositif décrit par Cosmos Labs, les signataires ne peuvent pas restituer les fonds tant qu’une proposition de gouvernance de Cosmos Hub n’a pas autorisé le transfert.

L’arrêt de Cosmos Hub a empêché les ATOM restants de sortir

Après l’attaque contre Neutron le 22 septembre, l’attaquant a envoyé les actifs volés vers plusieurs chaînes et a commencé à échanger une partie des ATOM via THORChain, selon le compte rendu de Cosmos Labs. Environ 1,73 million d’ATOM ont atteint le Hub, où l’attaquant aurait pu continuer à les déplacer même après l’arrêt de la production de blocs sur Neutron.

Des contributeurs de Neutron et des membres de la communauté ont alerté les validateurs du Hub et Cosmos Labs vers 09:50 UTC. Les validateurs représentant plus d’un tiers du pouvoir de vote du Hub ont alors arrêté leurs nœuds, mettant le réseau à l’arrêt au bloc 33 086 740 vers 11:18 UTC.

Pendant cette pause, Cosmos Labs a préparé une modification logicielle ponctuelle à la demande des validateurs. Son plan écrit identifiait l’adresse de l’attaquant, le portefeuille de destination, les six signataires proposés et l’unique compte concerné par la mise à jour. Les validateurs ont reçu ce plan avant la distribution du logiciel corrigé.

Nansen, Keplr, Enigma, Silknodes, Kiln et Polkachu ont accepté de détenir les six clés de signature. Cosmos Labs a indiqué que les signataires ont vérifié indépendamment l’adresse du portefeuille et l’ont validée via une transaction de test avant que les développeurs ne l’intègrent à la mise à jour.

Au moment du redémarrage programmé, des validateurs représentant plus des deux tiers du pouvoir de vote avaient installé la v28.3.0. La production de blocs a repris à 12:00 UTC le 23 septembre, et le transfert de 1 227 121,37 ATOM a pris effet environ six minutes plus tard. Cosmos Labs a précisé que 174 des 180 validateurs du Hub étaient en ligne à la fin de cette journée.

Les validateurs participants comprenaient notamment Coinbase et Kraken, selon la mise à jour. Leur rôle s’inscrivait dans le redémarrage coordonné du logiciel du Hub ; Cosmos Labs a indiqué que les plateformes d’échange et autres opérateurs ont ensuite été informés que les dépôts et retraits pouvaient reprendre une fois le réseau stabilisé.

Une partie des ATOM est sortie avant et après le redémarrage

Le solde sécurisé ne représente que les ATOM encore présents à l’adresse Hub de l’attaquant au moment où les validateurs ont arrêté la chaîne. Cosmos Labs a indiqué qu’environ 500 000 ATOM avaient déjà été échangés contre de l’ETH via THORChain avant l’arrêt et ne pouvaient pas être récupérés via la mise à jour du Hub.

Une transaction distincte sur THORChain a renvoyé 168 990,9 ATOM à l’adresse de l’attaquant peu après la reprise de la production de blocs. L’attaquant a transféré ce solde vers Osmosis et l’a vendu, selon le message publié sur le forum.

Cosmos Labs a indiqué que ce remboursement possible a été identifié alors que les validateurs se préparaient au redémarrage, après que le logiciel corrigé avait déjà été distribué et installé par de nombreux opérateurs. La mise à jour autorisait un transfert unique du solde présent à la hauteur du bloc d’arrêt. Elle ne bloquait pas les transactions ultérieures depuis l’adresse de l’attaquant et ne déplaçait pas les fonds arrivés après le redémarrage.

La réponse du Hub ne couvrait pas non plus les actifs envoyés vers d’autres réseaux. Cosmos Labs a identifié des fonds volés ayant transité par dYdX, Noble, Osmosis, Axelar et des chaînes EVM, ainsi que des actifs toujours présents sur Neutron. Les équipes en charge de ces réseaux coordonnent leurs propres efforts de récupération, a indiqué l’entreprise.

Un incident antérieur et distinct a affecté un logiciel utilisé par d’autres réseaux Cosmos. En août, crypto.news a rapporté que des attaquants avaient exploité une faille de Cosmos EVM sur six chaînes et converti les tokens volés en environ 5,72 millions de dollars d’autres actifs. Le récit de Cosmos Labs sur le cas Neutron décrit une attaque de gouvernance sur Neutron, et non cette faille de Cosmos EVM.

Le retour des ATOM dépend d’un vote de gouvernance du Hub

Les six signataires ont accepté de conserver les ATOM récupérés sans les staker, les prêter ni les échanger, a indiqué Cosmos Labs. Ils décrivent leur rôle comme l’exécution d’un retour autorisé, plutôt que comme une décision autonome sur les comptes affectés devant recevoir des fonds.

Une proposition de gouvernance de Cosmos Hub doit être adoptée avant que le portefeuille puisse effectuer ce transfert. L’équipe de récupération de Neutron prévoit de soumettre une proposition au cours de la semaine à venir, une fois la destination proposée et le processus de restitution définis. Les mainteneurs de Neutron comptent également publier leur compte rendu de l’attaque au début de la semaine prochaine.

Cette exigence de gouvernance donne aux détenteurs d’ATOM un rôle direct dans l’étape suivante. La gouvernance de Cosmos Hub a déjà tranché d’autres questions concernant le token : en mars, une proposition sur Osmosis visait à convertir des OSMO en ATOM et à placer les tokens non réclamés dans le pool communautaire du Hub, bien qu’un vote ultérieur du Hub ait rejeté ce plan.

Pour la récupération sur Neutron, Cosmos Labs a indiqué que les ATOM sécurisés restent dans le portefeuille des validateurs pendant la préparation de la proposition. L’entreprise a partagé les adresses de l’attaquant avec plus de 30 plateformes d’échange, bridges et dépositaires, et a indiqué que plusieurs ont confirmé avoir bloqué ces adresses.