Os validadores do Cosmos Hub protegeram 1,23 milhão de ATOM obtidos em um ataque de governança à Neutron após interromperem a rede por cerca de 24,5 horas e moverem os tokens para uma carteira de recuperação.

A Cosmos Labs informou em uma atualização de 25 de setembro que o próprio Hub não foi atacado e que os fundos dos usuários do Hub não foram afetados. Os ATOM roubados vieram da Neutron, onde uma proposta maliciosa de governança deu ao atacante o controle de contratos usados pela Astroport e outros protocolos.

No momento da interrupção do Hub, 1.227.121 ATOM permaneciam no endereço do atacante. Os validadores reiniciaram a rede em 23 de setembro usando o Gaia v28.3.0, uma atualização de software que moveu o saldo para uma carteira controlada por seis validadores da comunidade. Quatro deles devem aprovar qualquer transação dessa carteira.

Os tokens estão sendo mantidos enquanto a equipe de recuperação da Neutron prepara um plano. De acordo com o arranjo descrito pela Cosmos Labs, os signatários não podem devolver os fundos até que uma proposta de governança do Cosmos Hub autorize a transferência.

A interrupção do Cosmos Hub impediu que os ATOM restantes saíssem

Após o ataque à Neutron em 22 de setembro, o atacante enviou os ativos roubados para várias chains e começou a trocar parte dos ATOM via THORChain, segundo o relato da Cosmos Labs. Cerca de 1,73 milhão de ATOM chegaram ao Hub, onde o atacante poderia ter continuado a movê-los mesmo depois que a Neutron parou de produzir blocos.

Contribuidores da Neutron e membros da comunidade alertaram os validadores do Hub e a Cosmos Labs por volta de 09:50 UTC. Em seguida, validadores que representavam mais de um terço do poder de voto do Hub desligaram seus nós, interrompendo a rede no bloco 33.086.740 por volta de 11:18 UTC.

Durante a pausa, a Cosmos Labs preparou uma alteração pontual no software a pedido dos validadores. Seu plano por escrito identificava o endereço do atacante, a carteira de destino, os seis signatários propostos e a única conta que seria afetada pela atualização. Os validadores receberam esse plano antes da distribuição do software corrigido.

Nansen, Keplr, Enigma, Silknodes, Kiln e Polkachu concordaram em custodiar as seis chaves de assinatura. A Cosmos Labs disse que os signatários verificaram independentemente o endereço da carteira e o validaram com uma transação de teste antes que os desenvolvedores o adicionassem à atualização.

Até o horário programado para o reinício, validadores que representavam mais de dois terços do poder de voto já haviam instalado a v28.3.0. A produção de blocos foi retomada às 12:00 UTC em 23 de setembro, e a transferência de 1.227.121,37 ATOM entrou em vigor cerca de seis minutos depois. A Cosmos Labs informou que 174 dos 180 validadores do Hub estavam online até o fim daquele dia.

Os validadores participantes incluíam Coinbase e Kraken, segundo a atualização. O papel deles fez parte do reinício coordenado do software do Hub; a Cosmos Labs disse que exchanges e outros operadores foram posteriormente informados de que depósitos e saques poderiam ser retomados assim que a rede estivesse estável.

Parte dos ATOM saiu antes e depois do reinício

O saldo protegido representa apenas os ATOM que ainda estavam no endereço do atacante no Hub quando os validadores interromperam a chain. A Cosmos Labs disse que cerca de 500.000 ATOM já haviam sido trocados por ETH via THORChain antes da interrupção e não puderam ser recuperados por meio da atualização do Hub.

Uma transação separada na THORChain devolveu 168.990,9 ATOM ao endereço do atacante pouco depois da retomada da produção de blocos. O atacante moveu esse saldo para a Osmosis e o vendeu, segundo a publicação no fórum.

A Cosmos Labs disse que o possível reembolso foi identificado enquanto os validadores se preparavam para reiniciar, após o software corrigido já ter sido distribuído e instalado por muitos operadores. A atualização autorizava uma única transferência do saldo presente na altura do bloqueio. Ela não bloqueava transações posteriores do endereço do atacante nem movia fundos que chegaram após o reinício.

A resposta do Hub também não cobriu ativos enviados para outras redes. A Cosmos Labs identificou fundos roubados que passaram por dYdX, Noble, Osmosis, Axelar e chains EVM, além de ativos que ainda estavam na Neutron. As equipes responsáveis por essas redes estão coordenando seus próprios esforços de recuperação, disse a empresa.

Um incidente anterior e separado afetou software usado por outras redes do Cosmos. Em agosto, a crypto.news informou que atacantes exploraram uma falha no Cosmos EVM em seis chains e converteram tokens roubados em cerca de US$ 5,72 milhões em outros ativos. O relato da Cosmos Labs sobre o caso da Neutron descreve um ataque de governança na Neutron, e não essa falha do Cosmos EVM.

A devolução de ATOM depende de uma votação de governança do Hub

Os seis signatários concordaram em manter os ATOM recuperados sem fazer staking, empréstimo ou negociação com eles, disse a Cosmos Labs. Eles descrevem seu papel como o de executar uma devolução autorizada, em vez de decidir por conta própria quais contas afetadas devem receber os fundos.

Uma proposta de governança do Cosmos Hub precisa ser aprovada antes que a carteira possa realizar essa transferência. A equipe de recuperação da Neutron espera submeter uma proposta na próxima semana, assim que definir o destino proposto e o processo de devolução. Os mantenedores da Neutron também esperam publicar seu relato do ataque no início da próxima semana.

A exigência de governança dá aos detentores de ATOM um papel direto na próxima etapa. A governança do Cosmos Hub já decidiu anteriormente outras questões que afetavam o token: uma proposta da Osmosis em março buscava converter OSMO em ATOM e colocar os tokens não reivindicados no community pool do Hub, embora uma votação posterior do Hub tenha rejeitado esse plano.

Para a recuperação da Neutron, a Cosmos Labs disse que os ATOM protegidos permanecem na carteira dos validadores enquanto a proposta é preparada. A empresa compartilhou os endereços do atacante com mais de 30 exchanges, bridges e custodians, e disse que várias confirmaram ter bloqueado esses endereços.