Validator Cosmos Hub telah mengamankan 1,23 juta ATOM yang diambil dalam serangan tata kelola Neutron setelah menghentikan jaringan selama sekitar 24,5 jam dan memindahkan token tersebut ke wallet pemulihan.
Cosmos Labs mengatakan dalam pembaruan 25 September bahwa Hub itu sendiri tidak diserang dan dana pengguna Hub tidak terdampak. ATOM yang dicuri berasal dari Neutron, tempat proposal tata kelola berbahaya memberi penyerang kendali atas kontrak yang digunakan oleh Astroport dan protokol lainnya.
Pada saat Hub dihentikan, 1.227.121 ATOM masih berada di alamat penyerang. Validator memulai ulang jaringan pada 23 September menggunakan Gaia v28.3.0, sebuah pembaruan perangkat lunak yang memindahkan saldo tersebut ke wallet yang dikendalikan oleh enam validator komunitas. Empat di antaranya harus menyetujui setiap transaksi dari wallet tersebut.
Token tersebut ditahan sementara tim pemulihan Neutron menyiapkan rencana. Berdasarkan pengaturan yang dijelaskan Cosmos Labs, para penanda tangan tidak dapat mengembalikan dana sampai proposal tata kelola Cosmos Hub mengotorisasi transfer tersebut.
Setelah serangan terhadap Neutron pada 22 September, penyerang mengirim aset curian ke beberapa chain dan mulai menukar sebagian ATOM melalui THORChain, menurut penjelasan Cosmos Labs. Sekitar 1,73 juta ATOM mencapai Hub, tempat penyerang masih bisa terus memindahkannya bahkan setelah Neutron berhenti memproduksi blok.
Kontributor Neutron dan anggota komunitas memberi peringatan kepada validator Hub dan Cosmos Labs sekitar pukul 09:50 UTC. Validator yang mewakili lebih dari sepertiga voting power Hub kemudian menghentikan node mereka, membuat jaringan berhenti pada blok 33.086.740 sekitar pukul 11:18 UTC.
Selama jeda tersebut, Cosmos Labs menyiapkan perubahan perangkat lunak satu kali atas permintaan validator. Rencana tertulisnya mengidentifikasi alamat penyerang, wallet tujuan, enam penanda tangan yang diusulkan, dan satu akun yang akan terdampak oleh pembaruan tersebut. Validator menerima rencana itu sebelum perangkat lunak yang telah ditambal didistribusikan.
Nansen, Keplr, Enigma, Silknodes, Kiln, dan Polkachu sepakat untuk memegang enam kunci penandatanganan. Cosmos Labs mengatakan para penanda tangan secara independen memeriksa alamat wallet dan memverifikasinya dengan transaksi uji sebelum pengembang menambahkannya ke pembaruan.
Pada saat restart yang dijadwalkan, validator yang mewakili lebih dari dua pertiga voting power telah menginstal v28.3.0. Produksi blok dilanjutkan pada pukul 12:00 UTC pada 23 September, dan transfer 1.227.121,37 ATOM berlaku sekitar enam menit kemudian. Cosmos Labs mengatakan 174 dari 180 validator Hub telah online pada akhir hari itu.
Validator yang berpartisipasi termasuk Coinbase dan Kraken, menurut pembaruan tersebut. Peran mereka merupakan bagian dari restart perangkat lunak Hub yang terkoordinasi; Cosmos Labs mengatakan exchange dan operator lain kemudian diberi tahu bahwa deposit dan penarikan dapat dilanjutkan setelah jaringan stabil.
Saldo yang diamankan hanya mewakili ATOM yang masih berada di alamat Hub milik penyerang saat validator menghentikan chain. Cosmos Labs mengatakan sekitar 500.000 ATOM telah lebih dulu ditukar menjadi ETH melalui THORChain sebelum penghentian dan tidak dapat dipulihkan melalui pembaruan Hub.
Transaksi THORChain terpisah mengembalikan 168.990,9 ATOM ke alamat penyerang tak lama setelah produksi blok dilanjutkan. Penyerang memindahkan saldo tersebut ke Osmosis dan menjualnya, menurut unggahan forum.
Cosmos Labs mengatakan kemungkinan pengembalian itu diidentifikasi ketika validator sedang bersiap untuk restart, setelah perangkat lunak yang telah ditambal didistribusikan dan dipasang oleh banyak operator. Pembaruan tersebut mengotorisasi satu kali transfer atas saldo yang ada pada ketinggian penghentian. Pembaruan itu tidak memblokir transaksi berikutnya dari alamat penyerang atau memindahkan dana yang masuk setelah restart.
Respons Hub juga tidak mencakup aset yang dikirim ke jaringan lain. Cosmos Labs mengidentifikasi dana curian yang telah berpindah melalui dYdX, Noble, Osmosis, Axelar, dan chain EVM, serta aset yang masih berada di Neutron. Tim yang menangani jaringan-jaringan tersebut sedang mengoordinasikan upaya pemulihan mereka sendiri, kata perusahaan itu.
Insiden sebelumnya yang terpisah memengaruhi perangkat lunak yang digunakan oleh jaringan Cosmos lainnya. Pada Agustus, crypto.news melaporkan bahwa penyerang mengeksploitasi celah Cosmos EVM di enam chain dan mengonversi token curian menjadi sekitar $5,72 juta dalam aset lain. Penjelasan Cosmos Labs tentang kasus Neutron menggambarkan serangan tata kelola terhadap Neutron, bukan celah Cosmos EVM tersebut.
Keenam penanda tangan telah sepakat untuk menahan ATOM yang dipulihkan tanpa melakukan staking, lending, atau trading atasnya, kata Cosmos Labs. Mereka menggambarkan peran mereka sebagai menjalankan pengembalian yang telah diotorisasi, bukan memutuskan sendiri akun terdampak mana yang harus menerima dana.
Sebuah proposal tata kelola Cosmos Hub harus lolos sebelum wallet tersebut dapat melakukan transfer itu. Tim pemulihan Neutron berharap untuk mengajukan proposal pada pekan depan, setelah menetapkan tujuan transfer yang diusulkan dan proses pengembaliannya. Pemelihara Neutron juga memperkirakan akan menerbitkan penjelasan mereka tentang serangan tersebut pada awal pekan depan.
Persyaratan tata kelola ini memberi pemegang ATOM peran langsung dalam langkah berikutnya. Tata kelola Cosmos Hub sebelumnya telah memutuskan hal-hal lain yang memengaruhi token tersebut: proposal Osmosis pada Maret berupaya mengonversi OSMO menjadi ATOM dan menempatkan token yang tidak diklaim ke community pool Hub, meski voting Hub berikutnya menolak rencana itu.
Untuk pemulihan Neutron, Cosmos Labs mengatakan ATOM yang diamankan tetap berada di wallet validator sementara proposal disiapkan. Perusahaan telah membagikan alamat-alamat penyerang kepada lebih dari 30 exchange, bridge, dan kustodian, dan mengatakan beberapa di antaranya telah mengonfirmasi bahwa mereka memblokir alamat tersebut.
ETH
ATOM
