Cosmos Hub-Validatoren haben 1,23 Millionen ATOM gesichert, die bei einem Neutron-Governance-Angriff entwendet wurden, nachdem sie das Netzwerk für etwa 24,5 Stunden angehalten und die Token in eine Wiederherstellungs-Wallet verschoben hatten.
Zusammenfassung
- Etwa 1,73 Millionen gestohlene ATOM erreichten den Cosmos Hub von Neutron aus.
- Validatoren verschoben 1.227.121 ATOM in eine Wallet, die die Genehmigung von vier von sechs Unterzeichnern für eine Transaktion erfordert.
- Weitere 168.990,9 ATOM erreichten den Angreifer nach dem Neustart und wurden nach Osmosis verschoben und verkauft.
- Die Rückgabe der gesicherten Gelder erfordert eine Governance-Abstimmung im Cosmos Hub.
Cosmos Labs erklärte in einem Update vom 25. September, dass der Hub selbst nicht angegriffen wurde und die Gelder der Hub-Nutzer nicht betroffen waren. Die gestohlenen ATOM stammten von Neutron, wo ein bösartiger Governance-Vorschlag dem Angreifer die Kontrolle über Verträge gab, die von Astroport und anderen Protokollen genutzt werden.
Zum Zeitpunkt der Aussetzung des Hubs verblieben 1.227.121 ATOM in der Adresse des Angreifers. Die Validatoren starteten das Netzwerk am 23. September mit Gaia v28.3.0 neu, einem Software-Update, das das Guthaben in eine Wallet verschob, die von sechs Community-Validatoren kontrolliert wird. Vier von ihnen müssen jede Transaktion von dieser Wallet genehmigen.
Die Token werden gehalten, während das Neutron-Wiederherstellungsteam einen Plan vorbereitet. Gemäß der von Cosmos Labs beschriebenen Vereinbarung können die Unterzeichner die Gelder erst zurückgeben, wenn ein Governance-Vorschlag des Cosmos Hub die Übertragung genehmigt.
Die Aussetzung des Cosmos Hub verhinderte, dass die verbleibenden ATOM abflossen
Nach dem Neutron-Angriff am 22. September sandte der Angreifer gestohlene Vermögenswerte an mehrere Chains und begann, einige der ATOM über THORChain zu tauschen, so der Bericht von Cosmos Labs. Etwa 1,73 Millionen ATOM erreichten den Hub, wo der Angreifer sie hätte weiter verschieben können, selbst nachdem Neutron die Blockproduktion eingestellt hatte.
Neutron-Mitwirkende und Community-Mitglieder alarmierten die Hub-Validatoren und Cosmos Labs gegen 09:50 UTC. Validatoren, die mehr als ein Drittel der Stimmrechte des Hubs repräsentieren, stoppten daraufhin ihre Nodes und brachten das Netzwerk um etwa 11:18 UTC bei Block 33.086.740 zum Stillstand.
Während der Pause bereitete Cosmos Labs auf Anfrage der Validatoren eine einmalige Softwareänderung vor. Der schriftliche Plan identifizierte die Adresse des Angreifers, die Ziel-Wallet, die sechs vorgeschlagenen Unterzeichner und das einzelne Konto, das das Update betreffen würde. Die Validatoren erhielten diesen Plan, bevor die gepatchte Software verteilt wurde.
Nansen, Keplr, Enigma, Silknodes, Kiln und Polkachu erklärten sich bereit, die sechs Signaturschlüssel zu halten. Cosmos Labs sagte, die Unterzeichner hätten die Wallet-Adresse unabhängig überprüft und mit einer Testtransaktion verifiziert, bevor Entwickler sie dem Update hinzufügten.
Zum Zeitpunkt des geplanten Neustarts hatten Validatoren, die mehr als zwei Drittel der Stimmrechte repräsentieren, v28.3.0 installiert. Die Blockproduktion wurde am 23. September um 12:00 UTC wieder aufgenommen, und die Übertragung von 1.227.121,37 ATOM wurde etwa sechs Minuten später wirksam. Cosmos Labs sagte, dass 174 der 180 Validatoren des Hubs bis zum Ende dieses Tages online waren.
Zu den teilnehmenden Validatoren gehörten laut dem Update Coinbase und Kraken. Ihre Rolle war Teil des koordinierten Software-Neustarts des Hubs; Cosmos Labs sagte, Börsen und andere Betreiber seien anschließend informiert worden, dass Ein- und Auszahlungen wieder aufgenommen werden könnten, sobald das Netzwerk stabil sei.
Einige ATOM verließen das Netzwerk vor und nach dem Neustart
Das gesicherte Guthaben stellt nur die ATOM dar, die sich noch in der Hub-Adresse des Angreifers befanden, als die Validatoren die Chain anhielten. Cosmos Labs sagte, dass etwa 500.000 ATOM bereits vor der Aussetzung über THORChain in ETH getauscht worden waren und nicht durch das Hub-Update zurückgeholt werden konnten.
Eine separate THORChain-Transaktion brachte 168.990,9 ATOM kurz nach Wiederaufnahme der Blockproduktion an die Adresse des Angreifers zurück. Der Angreifer verschob dieses Guthaben nach Osmosis und verkaufte es, so der Forum-Beitrag.
Cosmos Labs sagte, die mögliche Rückerstattung sei identifiziert worden, während die Validatoren sich auf den Neustart vorbereiteten, nachdem die gepatchte Software verteilt und von vielen Betreibern installiert worden war. Das Update autorisierte eine einzelne Übertragung des Guthabens, das zum Zeitpunkt der Aussetzung vorhanden war. Es blockierte keine späteren Transaktionen von der Adresse des Angreifers und verschob keine Gelder, die nach dem Neustart eingingen.
Die Reaktion des Hubs deckte auch keine Vermögenswerte ab, die an andere Netzwerke gesendet wurden. Cosmos Labs identifizierte gestohlene Gelder, die über dYdX, Noble, Osmosis, Axelar und EVM-Chains geflossen waren, sowie Vermögenswerte, die sich noch auf Neutron befanden. Teams, die diese Netzwerke betreuen, koordinieren ihre eigenen Wiederherstellungsbemühungen, so das Unternehmen.
Ein früherer, separater Vorfall betraf Software, die von anderen Cosmos-Netzwerken verwendet wird. Im August berichtete crypto.news, dass Angreifer eine Cosmos-EVM-Schwachstelle über sechs Chains hinweg ausnutzten und gestohlene Token in etwa 5,72 Millionen Dollar in anderen Vermögenswerten umwandelten. Der Bericht von Cosmos Labs zum Neutron-Fall beschreibt einen Governance-Angriff auf Neutron, nicht diese Cosmos-EVM-Schwachstelle.
ATOM-Rückgabe hängt von einer Hub-Governance-Abstimmung ab
Die sechs Unterzeichner haben sich bereit erklärt, die wiedererlangten ATOM zu halten, ohne sie zu staken, zu verleihen oder zu handeln, sagte Cosmos Labs. Sie beschreiben ihre Rolle als die Durchführung einer autorisierten Rückgabe, anstatt selbst zu entscheiden, welche betroffenen Konten Gelder erhalten sollen.
Ein Governance-Vorschlag des Cosmos Hub muss angenommen werden, bevor die Wallet diese Übertragung vornehmen kann. Das Neutron-Wiederherstellungsteam erwartet, in der kommenden Woche einen Vorschlag einzureichen, sobald es das vorgeschlagene Ziel und den Rückgabeprozess dargelegt hat. Die Betreuer von Neutron erwarten außerdem, Anfang nächster Woche ihren Bericht über den Angriff zu veröffentlichen.
Die Governance-Anforderung gibt ATOM-Haltern eine direkte Rolle im nächsten Schritt. Die Cosmos Hub Governance hat zuvor andere Angelegenheiten entschieden, die den Token betreffen: Ein Osmosis-Vorschlag vom März zielte darauf ab, OSMO in ATOM umzuwandeln und nicht beanspruchte Token in den Community-Pool des Hub zu legen, obwohl eine spätere Hub-Abstimmung diesen Plan ablehnte.
Für die Neutron-Wiederherstellung sagte Cosmos Labs, dass die gesicherten ATOM in der Validator-Wallet verbleiben, während der Vorschlag vorbereitet wird. Das Unternehmen hat die Adressen des Angreifers mit mehr als 30 Börsen, Bridges und Verwahrern geteilt und erklärte, dass mehrere bestätigt hätten, die Adressen blockiert zu haben.
