Validatorii Cosmos Hub au securizat 1,23 milioane de ATOM sustrase într-un atac de guvernanță asupra Neutron, după ce au oprit rețeaua pentru aproximativ 24,5 ore și au mutat tokenurile într-un portofel de recuperare.

Cosmos Labs a declarat într-o actualizare din 25 septembrie că Hub-ul în sine nu a fost atacat, iar fondurile utilizatorilor Hub-ului nu au fost afectate. ATOM-urile furate proveneau din Neutron, unde o propunere de guvernanță malițioasă i-a oferit atacatorului control asupra contractelor folosite de Astroport și alte protocoale.

La momentul opririi Hub-ului, 1.227.121 ATOM se aflau încă la adresa atacatorului. Validatorii au repornit rețeaua pe 23 septembrie folosind Gaia v28.3.0, o actualizare software care a mutat soldul într-un portofel controlat de șase validatori ai comunității. Patru dintre ei trebuie să aprobe orice tranzacție din acel portofel.

Tokenurile sunt păstrate în timp ce echipa de recuperare Neutron pregătește un plan. Conform aranjamentului descris de Cosmos Labs, semnatarii nu pot returna fondurile până când o propunere de guvernanță a Cosmos Hub autorizează transferul.

Oprirea Cosmos Hub a împiedicat ieșirea ATOM-urilor rămase

După atacul asupra Neutron din 22 septembrie, atacatorul a trimis activele furate către mai multe chain-uri și a început să schimbe o parte din ATOM prin THORChain, potrivit relatării Cosmos Labs. Aproximativ 1,73 milioane de ATOM au ajuns în Hub, unde atacatorul ar fi putut continua să le mute chiar și după ce Neutron a încetat să mai producă blocuri.

Contribuitorii Neutron și membrii comunității au alertat validatorii Hub-ului și Cosmos Labs în jurul orei 09:50 UTC. Validatorii care reprezentau mai mult de o treime din puterea de vot a Hub-ului și-au oprit apoi nodurile, aducând rețeaua la oprire la blocul 33.086.740 în jurul orei 11:18 UTC.

În timpul pauzei, Cosmos Labs a pregătit o modificare software unică la cererea validatorilor. Planul său scris identifica adresa atacatorului, portofelul de destinație, cei șase semnatari propuși și singurul cont pe care actualizarea urma să îl afecteze. Validatorii au primit acel plan înainte ca software-ul patch-uit să fie distribuit.

Nansen, Keplr, Enigma, Silknodes, Kiln și Polkachu au fost de acord să dețină cele șase chei de semnare. Cosmos Labs a spus că semnatarii au verificat independent adresa portofelului și au validat-o printr-o tranzacție de test înainte ca dezvoltatorii să o includă în actualizare.

Până la momentul repornirii programate, validatorii care reprezentau mai mult de două treimi din puterea de vot instalaseră v28.3.0. Producția de blocuri a fost reluată la 12:00 UTC pe 23 septembrie, iar transferul celor 1.227.121,37 ATOM a intrat în vigoare aproximativ șase minute mai târziu. Cosmos Labs a spus că 174 dintre cei 180 de validatori ai Hub-ului erau online până la finalul acelei zile.

Validatorii participanți au inclus Coinbase și Kraken, potrivit actualizării. Rolul lor a făcut parte din repornirea coordonată a software-ului Hub-ului; Cosmos Labs a spus că exchange-urile și alți operatori au fost informați ulterior că depunerile și retragerile pot fi reluate odată ce rețeaua s-a stabilizat.

O parte din ATOM a plecat înainte și după repornire

Soldul securizat reprezintă doar ATOM-ul aflat încă la adresa atacatorului din Hub în momentul în care validatorii au oprit chain-ul. Cosmos Labs a spus că aproximativ 500.000 de ATOM fuseseră deja schimbați în ETH prin THORChain înainte de oprire și nu puteau fi recuperați prin actualizarea Hub-ului.

O tranzacție separată prin THORChain a returnat 168.990,9 ATOM la adresa atacatorului la scurt timp după reluarea producției de blocuri. Atacatorul a mutat acel sold pe Osmosis și l-a vândut, potrivit postării de pe forum.

Cosmos Labs a spus că posibilul refund a fost identificat în timp ce validatorii se pregăteau să repornească, după ce software-ul patch-uit fusese distribuit și instalat de mulți operatori. Actualizarea a autorizat un singur transfer al soldului prezent la înălțimea blocului la care s-a produs oprirea. Nu a blocat tranzacțiile ulterioare de la adresa atacatorului și nici nu a mutat fondurile care au ajuns după repornire.

Răspunsul Hub-ului nu a acoperit nici activele trimise către alte rețele. Cosmos Labs a identificat fonduri furate care au trecut prin dYdX, Noble, Osmosis, Axelar și chain-uri EVM, precum și active încă aflate pe Neutron. Echipele care gestionează aceste rețele își coordonează propriile eforturi de recuperare, a spus compania.

Un incident anterior, separat, a afectat software-ul utilizat de alte rețele Cosmos. În august, crypto.news a relatat că atacatorii au exploatat o vulnerabilitate Cosmos EVM pe șase chain-uri și au convertit tokenurile furate în alte active în valoare de aproximativ 5,72 milioane de dolari. Relatarea Cosmos Labs despre cazul Neutron descrie un atac de guvernanță asupra Neutron, nu acea vulnerabilitate Cosmos EVM.

Returnarea ATOM depinde de un vot de guvernanță al Hub-ului

Cei șase semnatari au fost de acord să păstreze ATOM-ul recuperat fără a-l pune la staking, a-l împrumuta sau a-l tranzacționa, a spus Cosmos Labs. Ei își descriu rolul ca fiind acela de a executa o returnare autorizată, nu de a decide pe cont propriu ce conturi afectate ar trebui să primească fondurile.

O propunere de guvernanță în Cosmos Hub trebuie să fie aprobată înainte ca portofelul să poată efectua acel transfer. Echipa de recuperare Neutron se așteaptă să depună o propunere în săptămâna următoare, după ce va stabili destinația propusă și procesul de returnare. Administratorii Neutron se așteaptă, de asemenea, să publice propria relatare a atacului la începutul săptămânii viitoare.

Cerința de guvernanță le oferă deținătorilor de ATOM un rol direct în pasul următor. Guvernanța Cosmos Hub a decis anterior și alte chestiuni care afectează tokenul: o propunere Osmosis din martie a urmărit conversia OSMO în ATOM și plasarea tokenurilor nerevendicate în pool-ul comunitar al Hub-ului, deși un vot ulterior al Hub-ului a respins acel plan.

Pentru recuperarea Neutron, Cosmos Labs a spus că ATOM-ul securizat rămâne în portofelul validatorilor în timp ce propunerea este pregătită. Compania a distribuit adresele atacatorului către peste 30 de exchange-uri, bridge-uri și custozi și a spus că mai multe dintre acestea au confirmat că au blocat adresele.