Валідатори Cosmos Hub убезпечили 1,23 млн ATOM, викрадених унаслідок governance-атаки на Neutron, після зупинки мережі приблизно на 24,5 години та переведення токенів на гаманець для відновлення.
Cosmos Labs повідомила в оновленні від 25 вересня, що сам Hub не зазнав атаки, а кошти користувачів Hub не постраждали. Викрадені ATOM надійшли з Neutron, де шкідлива governance-пропозиція надала зловмиснику контроль над контрактами, які використовують Astroport та інші протоколи.
На момент зупинки Hub на адресі зловмисника залишалося 1,227,121 ATOM. Валідатори перезапустили мережу 23 вересня, використавши Gaia v28.3.0 — оновлення ПЗ, яке перевело цей баланс на гаманець під контролем шести валідаторів спільноти. Будь-яку транзакцію з цього гаманця мають схвалити четверо з них.
Токени утримуються, поки команда з відновлення Neutron готує план. Згідно з описаною Cosmos Labs схемою, підписанти не можуть повернути кошти, доки governance-пропозиція Cosmos Hub не авторизує такий переказ.
Після атаки на Neutron 22 вересня зловмисник відправив викрадені активи до кількох мереж і почав обмінювати частину ATOM через THORChain, ідеться в повідомленні Cosmos Labs. Близько 1,73 млн ATOM надійшли до Hub, де зловмисник міг би продовжити їх переміщення навіть після того, як Neutron припинив виробництво блоків.
Контриб’ютори Neutron і члени спільноти попередили валідаторів Hub і Cosmos Labs приблизно о 09:50 UTC. Після цього валідатори, які представляють понад одну третину голосувальної ваги Hub, зупинили свої ноди, що призвело до зупинки мережі на блоці 33,086,740 приблизно об 11:18 UTC.
Під час паузи Cosmos Labs на прохання валідаторів підготувала одноразову зміну програмного забезпечення. У письмовому плані було вказано адресу зловмисника, цільовий гаманець, шістьох запропонованих підписантів і єдиний акаунт, на який мало вплинути оновлення. Валідатори отримали цей план до поширення виправленого ПЗ.
Nansen, Keplr, Enigma, Silknodes, Kiln і Polkachu погодилися зберігати шість ключів підпису. Cosmos Labs заявила, що підписанти незалежно перевірили адресу гаманця і підтвердили її тестовою транзакцією, перш ніж розробники додали її до оновлення.
На момент запланованого перезапуску валідатори, які представляють понад дві третини голосувальної ваги, уже встановили v28.3.0. Виробництво блоків відновилося о 12:00 UTC 23 вересня, а переказ 1,227,121.37 ATOM набув чинності приблизно через шість хвилин. За словами Cosmos Labs, до кінця того дня онлайн були 174 із 180 валідаторів Hub.
Серед валідаторів, які брали участь, були Coinbase і Kraken, ідеться в оновленні. Їхня роль була частиною скоординованого перезапуску ПЗ Hub; Cosmos Labs повідомила, що біржам та іншим операторам згодом сказали, що депозити й виведення коштів можуть бути відновлені після стабілізації мережі.
Убезпечений баланс охоплює лише ті ATOM, які все ще перебували на адресі зловмисника в Hub на момент зупинки мережі валідаторами. Cosmos Labs повідомила, що приблизно 500,000 ATOM уже було обміняно на ETH через THORChain до зупинки, і повернути їх через оновлення Hub було неможливо.
Окрема транзакція THORChain повернула 168,990.9 ATOM на адресу зловмисника невдовзі після відновлення виробництва блоків. Зловмисник перевів цей баланс до Osmosis і продав його, йдеться в повідомленні на форумі.
Cosmos Labs зазначила, що можливе повернення цих коштів було виявлено, коли валідатори готувалися до перезапуску, уже після того, як виправлене ПЗ було поширене та встановлене багатьма операторами. Оновлення авторизувало одноразовий переказ балансу, наявного на висоті зупинки. Воно не блокувало подальші транзакції з адреси зловмисника і не переміщувало кошти, що надійшли після перезапуску.
Реакція Hub також не охоплювала активи, відправлені в інші мережі. Cosmos Labs виявила викрадені кошти, які переміщувалися через dYdX, Noble, Osmosis, Axelar і EVM-мережі, а також активи, що все ще залишаються в Neutron. Команди, які відповідають за ці мережі, координують власні зусилля з відновлення, повідомила компанія.
Попередній окремий інцидент торкнувся програмного забезпечення, яке використовують інші мережі Cosmos. У серпні crypto.news повідомляв, що зловмисники використали вразливість Cosmos EVM у шести мережах і конвертували викрадені токени приблизно у $5.72 млн інших активів. Опис випадку з Neutron від Cosmos Labs стосується governance-атаки на Neutron, а не тієї вразливості Cosmos EVM.
Шестеро підписантів погодилися зберігати відновлені ATOM без стейкінгу, кредитування чи торгівлі ними, повідомила Cosmos Labs. Вони описують свою роль як виконання авторизованого повернення, а не самостійне ухвалення рішень щодо того, які постраждалі акаунти мають отримати кошти.
Перш ніж гаманець зможе здійснити цей переказ, має бути схвалена governance-пропозиція Cosmos Hub. Команда з відновлення Neutron очікує подати пропозицію протягом наступного тижня, щойно визначить запропонований пункт призначення та процес повернення. Супроводжувачі Neutron також очікують опублікувати свій звіт про атаку на початку наступного тижня.
Вимога governance надає власникам ATOM пряму роль у наступному кроці. Governance Cosmos Hub раніше вже ухвалювала рішення з інших питань, що стосуються токена: березнева пропозиція Osmosis передбачала конвертацію OSMO в ATOM і розміщення незатребуваних токенів у community pool Hub, однак пізніше голосування в Hub відхилило цей план.
Щодо відновлення після інциденту в Neutron, Cosmos Labs повідомила, що убезпечені ATOM залишаються на гаманці валідаторів, поки готується пропозиція. Компанія передала адреси зловмисника більш ніж 30 біржам, мостам і кастодіанам та заявила, що кілька з них уже підтвердили блокування цих адрес.
ETH
ATOM
