Os validadores do Cosmos Hub garantiram 1,23 milhão de ATOM tomados em um ataque de governança da Neutron após interromper a rede por cerca de 24,5 horas e mover os tokens para uma carteira de recuperação.
Resumo
- Aproximadamente 1,73 milhão de ATOM roubados chegaram ao Cosmos Hub vindos da Neutron.
- Os validadores moveram 1.227.121 ATOM para uma carteira que exige a aprovação de quatro de seis signatários para uma transação.
- Outros 168.990,9 ATOM chegaram ao atacante após a reinicialização e foram movidos para Osmosis e vendidos.
- Devolver os fundos garantidos exigirá uma votação de governança do Cosmos Hub.
O Cosmos Labs disse em uma atualização de 25 de setembro que o Hub em si não foi atacado e os fundos dos usuários do Hub não foram afetados. Os ATOM roubados vieram da Neutron, onde uma proposta de governança maliciosa deu ao atacante controle sobre contratos usados pela Astroport e outros protocolos.
No momento da parada do Hub, 1.227.121 ATOM permaneciam no endereço do atacante. Os validadores reiniciaram a rede em 23 de setembro usando Gaia v28.3.0, uma atualização de software que moveu o saldo para uma carteira controlada por seis validadores da comunidade. Quatro deles devem aprovar qualquer transação dessa carteira.
Os tokens estão sendo mantidos enquanto a equipe de recuperação da Neutron prepara um plano. Sob o acordo descrito pelo Cosmos Labs, os signatários não podem devolver os fundos até que uma proposta de governança do Cosmos Hub autorize a transferência.
A parada do Cosmos Hub impediu que o restante dos ATOM saísse
Após o ataque à Neutron em 22 de setembro, o atacante enviou ativos roubados para várias chains e começou a trocar parte dos ATOM através da THORChain, de acordo com o relato do Cosmos Labs. Cerca de 1,73 milhão de ATOM chegaram ao Hub, onde o atacante poderia ter continuado a movê-los mesmo depois que a Neutron parou de produzir blocos.
Colaboradores da Neutron e membros da comunidade alertaram os validadores do Hub e o Cosmos Labs por volta das 09:50 UTC. Validadores representando mais de um terço do poder de voto do Hub então pararam seus nós, levando a rede a uma parada no bloco 33.086.740 por volta das 11:18 UTC.
Durante a pausa, o Cosmos Labs preparou uma alteração de software única a pedido dos validadores. Seu plano escrito identificou o endereço do atacante, a carteira de destino, os seis signatários propostos e a única conta que a atualização afetaria. Os validadores receberam esse plano antes que o software corrigido fosse distribuído.
Nansen, Keplr, Enigma, Silknodes, Kiln e Polkachu concordaram em manter as seis chaves de assinatura. O Cosmos Labs disse que os signatários verificaram independentemente o endereço da carteira e o confirmaram com uma transação de teste antes que os desenvolvedores o adicionassem à atualização.
No momento da reinicialização programada, validadores representando mais de dois terços do poder de voto haviam instalado a v28.3.0. A produção de blocos foi retomada às 12:00 UTC de 23 de setembro, e a transferência de 1.227.121,37 ATOM entrou em vigor cerca de seis minutos depois. O Cosmos Labs disse que 174 dos 180 validadores do Hub estavam online no final daquele dia.
Os validadores participantes incluíam Coinbase e Kraken, de acordo com a atualização. Seu papel fazia parte da reinicialização coordenada do software do Hub; o Cosmos Labs disse que exchanges e outros operadores foram subsequentemente informados de que depósitos e saques poderiam ser retomados assim que a rede estivesse estável.
Alguns ATOM saíram antes e depois da reinicialização
O saldo garantido representa apenas os ATOM que ainda estavam no endereço do atacante no Hub quando os validadores interromperam a chain. O Cosmos Labs disse que aproximadamente 500.000 ATOM já haviam sido trocados por ETH através da THORChain antes da parada e não puderam ser recuperados através da atualização do Hub.
Uma transação separada na THORChain devolveu 168.990,9 ATOM ao endereço do atacante logo após a produção de blocos ser retomada. O atacante moveu esse saldo para Osmosis e o vendeu, de acordo com o post do fórum.
O Cosmos Labs disse que o possível reembolso foi identificado enquanto os validadores se preparavam para reiniciar, depois que o software corrigido havia sido distribuído e instalado por muitos operadores. A atualização autorizou uma única transferência do saldo presente na altura da parada. Ela não bloqueou transações posteriores do endereço do atacante nem moveu fundos que chegaram após a reinicialização.
A resposta do Hub também não cobriu ativos enviados para outras redes. O Cosmos Labs identificou fundos roubados que haviam passado por dYdX, Noble, Osmosis, Axelar e chains EVM, bem como ativos ainda na Neutron. As equipes que lidam com essas redes estão coordenando seus próprios esforços de recuperação, disse a empresa.
Um incidente anterior e separado afetou o software usado por outras redes Cosmos. Em agosto, a crypto.news relatou que atacantes exploraram uma falha do Cosmos EVM em seis chains e converteram tokens roubados em cerca de US$ 5,72 milhões em outros ativos. O relato do Cosmos Labs sobre o caso Neutron descreve um ataque de governança ao Neutron, não aquela falha do Cosmos EVM.
O retorno de ATOM depende de uma votação de governança do Hub
Os seis signatários concordaram em manter o ATOM recuperado sem fazer staking, empréstimo ou negociação dele, disse o Cosmos Labs. Eles descrevem seu papel como o de executar um retorno autorizado, em vez de decidir por conta própria quais contas afetadas devem receber os fundos.
Uma proposta de governança do Cosmos Hub precisa ser aprovada antes que a carteira possa fazer essa transferência. A equipe de recuperação do Neutron espera enviar uma proposta na próxima semana, assim que tiver definido o destino proposto e o processo de retorno. Os mantenedores do Neutron também esperam publicar seu relato do ataque no início da próxima semana.
A exigência de governança dá aos detentores de ATOM um papel direto no próximo passo. A governança do Cosmos Hub já decidiu anteriormente outros assuntos que afetam o token: uma proposta da Osmosis de março buscava converter OSMO em ATOM e colocar tokens não reclamados no pool comunitário do Hub, embora uma votação posterior do Hub tenha rejeitado esse plano.
Para a recuperação do Neutron, o Cosmos Labs disse que o ATOM assegurado permanece na carteira do validador enquanto a proposta é preparada. A empresa compartilhou os endereços do atacante com mais de 30 exchanges, bridges e custodiantes, e disse que vários confirmaram que bloquearam os endereços.
