Los validadores de Cosmos Hub han asegurado 1,23 millones de ATOM tomados en un ataque de gobernanza de Neutron después de detener la red durante aproximadamente 24,5 horas y mover los tokens a una billetera de recuperación.
Resumen
- Aproximadamente 1,73 millones de ATOM robados llegaron a Cosmos Hub desde Neutron.
- Los validadores movieron 1.227.121 ATOM a una billetera que requiere que cuatro de seis firmantes aprueben una transacción.
- Otros 168.990,9 ATOM llegaron al atacante después del reinicio y se movieron a Osmosis y se vendieron.
- Devolver los fondos asegurados requerirá una votación de gobernanza de Cosmos Hub.
Cosmos Labs dijo en una actualización del 25 de septiembre que el Hub en sí no fue atacado y los fondos de los usuarios del Hub no se vieron afectados. Los ATOM robados provinieron de Neutron, donde una propuesta de gobernanza maliciosa le dio al atacante control sobre los contratos utilizados por Astroport y otros protocolos.
En el momento de la detención del Hub, 1.227.121 ATOM permanecían en la dirección del atacante. Los validadores reiniciaron la red el 23 de septiembre usando Gaia v28.3.0, una actualización de software que movió el saldo a una billetera controlada por seis validadores de la comunidad. Cuatro de ellos deben aprobar cualquier transacción desde esa billetera.
Los tokens están retenidos mientras el equipo de recuperación de Neutron prepara un plan. Según el acuerdo descrito por Cosmos Labs, los firmantes no pueden devolver los fondos hasta que una propuesta de gobernanza de Cosmos Hub autorice la transferencia.
La detención de Cosmos Hub impidió que los ATOM restantes salieran
Después del ataque a Neutron el 22 de septiembre, el atacante envió activos robados a varias cadenas y comenzó a intercambiar algunos de los ATOM a través de THORChain, según el relato de Cosmos Labs. Alrededor de 1,73 millones de ATOM llegaron al Hub, donde el atacante podría haber seguido moviéndolos incluso después de que Neutron dejara de producir bloques.
Los contribuyentes de Neutron y miembros de la comunidad alertaron a los validadores del Hub y a Cosmos Labs aproximadamente a las 09:50 UTC. Los validadores que representaban más de un tercio del poder de voto del Hub entonces detuvieron sus nodos, llevando la red a una detención en el bloque 33.086.740 alrededor de las 11:18 UTC.
Durante la pausa, Cosmos Labs preparó un cambio de software único a petición de los validadores. Su plan escrito identificó la dirección del atacante, la billetera de destino, los seis firmantes propuestos y la única cuenta que afectaría la actualización. Los validadores recibieron ese plan antes de que se distribuyera el software parcheado.
Nansen, Keplr, Enigma, Silknodes, Kiln y Polkachu acordaron mantener las seis claves de firma. Cosmos Labs dijo que los firmantes verificaron independientemente la dirección de la billetera y la validaron con una transacción de prueba antes de que los desarrolladores la agregaran a la actualización.
Para el momento del reinicio programado, los validadores que representaban más de dos tercios del poder de voto habían instalado la v28.3.0. La producción de bloques se reanudó a las 12:00 UTC del 23 de septiembre, y la transferencia de 1.227.121,37 ATOM surtió efecto aproximadamente seis minutos después. Cosmos Labs dijo que 174 de los 180 validadores del Hub estaban en línea al final de ese día.
Los validadores participantes incluyeron a Coinbase y Kraken, según la actualización. Su papel fue parte del reinicio coordinado del software del Hub; Cosmos Labs dijo que posteriormente se informó a los exchanges y otros operadores que los depósitos y retiros podrían reanudarse una vez que la red estuviera estable.
Algunos ATOM salieron antes y después del reinicio
El saldo asegurado representa solo los ATOM que aún estaban en la dirección del Hub del atacante cuando los validadores detuvieron la cadena. Cosmos Labs dijo que aproximadamente 500.000 ATOM ya se habían intercambiado por ETH a través de THORChain antes de la detención y no pudieron recuperarse mediante la actualización del Hub.
Una transacción separada de THORChain devolvió 168.990,9 ATOM a la dirección del atacante poco después de que se reanudara la producción de bloques. El atacante movió ese saldo a Osmosis y lo vendió, según la publicación del foro.
Cosmos Labs dijo que el posible reembolso se identificó mientras los validadores se preparaban para reiniciar, después de que el software parcheado había sido distribuido e instalado por muchos operadores. La actualización autorizó una única transferencia del saldo presente en la altura de detención. No bloqueó transacciones posteriores desde la dirección del atacante ni movió fondos que llegaron después del reinicio.
La respuesta del Hub tampoco cubrió activos enviados a otras redes. Cosmos Labs identificó fondos robados que se habían movido a través de dYdX, Noble, Osmosis, Axelar y cadenas EVM, así como activos que aún estaban en Neutron. Los equipos que manejan esas redes están coordinando sus propios esfuerzos de recuperación, dijo la compañía.
Un incidente anterior y separado afectó al software utilizado por otras redes de Cosmos. En agosto, crypto.news informó que los atacantes explotaron una falla de Cosmos EVM en seis cadenas y convirtieron los tokens robados en aproximadamente $5.72 millones en otros activos. El relato de Cosmos Labs sobre el caso Neutron describe un ataque de gobernanza contra Neutron, no esa falla de Cosmos EVM.
El retorno de ATOM depende de una votación de gobernanza del Hub
Los seis firmantes acordaron mantener los ATOM recuperados sin apostarlos, prestarlos ni comerciarlos, dijo Cosmos Labs. Describen su rol como llevar a cabo una devolución autorizada, en lugar de decidir por sí mismos qué cuentas afectadas deberían recibir fondos.
Una propuesta de gobernanza del Cosmos Hub debe aprobarse antes de que la billetera pueda realizar esa transferencia. El equipo de recuperación de Neutron espera presentar una propuesta en la próxima semana, una vez que haya establecido el destino propuesto y el proceso de devolución. Los mantenedores de Neutron también esperan publicar su relato del ataque a principios de la próxima semana.
El requisito de gobernanza otorga a los tenedores de ATOM un rol directo en el siguiente paso. La gobernanza del Cosmos Hub ha decidido previamente otros asuntos que afectan al token: una propuesta de Osmosis de marzo buscaba convertir OSMO a ATOM y colocar los tokens no reclamados en el fondo comunitario del Hub, aunque una votación posterior del Hub rechazó ese plan.
Para la recuperación de Neutron, Cosmos Labs dijo que los ATOM asegurados permanecen en la billetera del validador mientras se prepara la propuesta. La compañía ha compartido las direcciones del atacante con más de 30 exchanges, puentes y custodios, y dijo que varios han confirmado que bloquearon las direcciones.
