Cosmos Hub обеспечивает 1,23 миллиона ATOM после атаки на Neutron

Валидаторы Cosmos Hub обеспечили сохранность 1,23 млн ATOM, захваченных в результате атаки на управление Neutron, после остановки сети примерно на 24,5 часа и перевода токенов в кошелек для восстановления.

Cosmos Labs сообщила в обновлении от 25 сентября, что сам Hub не подвергался атаке и средства пользователей Hub не пострадали. Украденные ATOM поступили из Neutron, где вредоносное предложение по управлению дало злоумышленнику контроль над контрактами, используемыми Astroport и другими протоколами.

На момент остановки Hub 1 227 121 ATOM оставались на адресе злоумышленника. Валидаторы перезапустили сеть 23 сентября, используя Gaia v28.3.0 — обновление программного обеспечения, которое перевело баланс в кошелек, контролируемый шестью валидаторами сообщества. Четверо из них должны одобрить любую транзакцию из этого кошелька.

Токены удерживаются, пока команда восстановления Neutron готовит план. Согласно договоренности, описанной Cosmos Labs, подписанты не могут вернуть средства до тех пор, пока предложение по управлению Cosmos Hub не санкционирует перевод.

Остановка Cosmos Hub предотвратила уход оставшихся ATOM

После атаки на Neutron 22 сентября злоумышленник отправил украденные активы на несколько цепочек и начал обменивать часть ATOM через THORChain, согласно отчету Cosmos Labs. Около 1,73 млн ATOM достигли Hub, где злоумышленник мог бы продолжить их перемещение даже после того, как Neutron прекратил производство блоков.

Участники Neutron и члены сообщества предупредили валидаторов Hub и Cosmos Labs примерно в 09:50 UTC. Валидаторы, представляющие более одной трети голосующей силы Hub, затем остановили свои узлы, что привело к остановке сети на блоке 33 086 740 примерно к 11:18 UTC.

Во время паузы Cosmos Labs подготовила разовое изменение программного обеспечения по запросу валидаторов. Ее письменный план определил адрес злоумышленника, кошелек назначения, шесть предложенных подписантов и единственный аккаунт, на который повлияет обновление. Валидаторы получили этот план до распространения исправленного программного обеспечения.

Nansen, Keplr, Enigma, Silknodes, Kiln и Polkachu согласились хранить шесть ключей подписи. Cosmos Labs заявила, что подписанты независимо проверили адрес кошелька и подтвердили его тестовой транзакцией, прежде чем разработчики добавили его в обновление.

К моменту запланированного перезапуска валидаторы, представляющие более двух третей голосующей силы, установили v28.3.0. Производство блоков возобновилось в 12:00 UTC 23 сентября, и перевод 1 227 121,37 ATOM вступил в силу примерно через шесть минут. Cosmos Labs сообщила, что 174 из 180 валидаторов Hub были онлайн к концу того дня.

Согласно обновлению, среди участвовавших валидаторов были Coinbase и Kraken. Их роль была частью скоординированного перезапуска программного обеспечения Hub; Cosmos Labs заявила, что биржам и другим операторам впоследствии сообщили, что депозиты и выводы могут возобновиться, как только сеть станет стабильной.

Часть ATOM ушла до и после перезапуска

Обеспеченный баланс представляет только те ATOM, которые все еще находились на адресе злоумышленника в Hub, когда валидаторы остановили цепочку. Cosmos Labs сообщила, что примерно 500 000 ATOM уже были обменяны на ETH через THORChain до остановки и не могли быть возвращены через обновление Hub.

Отдельная транзакция THORChain вернула 168 990,9 ATOM на адрес злоумышленника вскоре после возобновления производства блоков. Злоумышленник перевел этот баланс в Osmosis и продал его, согласно сообщению на форуме.

Cosmos Labs заявила, что возможный возврат был выявлен, пока валидаторы готовились к перезапуску, после того как исправленное программное обеспечение было распространено и установлено многими операторами. Обновление санкционировало единственный перевод баланса, присутствовавшего на высоте остановки. Оно не блокировало последующие транзакции с адреса злоумышленника и не перемещало средства, поступившие после перезапуска.

Ответ Hub также не охватывал активы, отправленные в другие сети. Cosmos Labs выявила украденные средства, которые прошли через dYdX, Noble, Osmosis, Axelar и EVM-цепочки, а также активы, все еще находящиеся в Neutron. Компания заявила, что команды, работающие с этими сетями, координируют свои собственные усилия по восстановлению.

Более ранний отдельный инцидент затронул программное обеспечение, используемое другими сетями Cosmos. В августе crypto.news сообщил, что злоумышленники использовали уязвимость Cosmos EVM в шести сетях и конвертировали украденные токены в другие активы на сумму около 5,72 миллиона долларов. Отчёт Cosmos Labs о случае Neutron описывает атаку на управление Neutron, а не ту уязвимость Cosmos EVM.

Возврат ATOM зависит от голосования по управлению Hub

Шесть подписантов согласились хранить возвращённые ATOM без стейкинга, кредитования или торговли ими, сообщила Cosmos Labs. Они описывают свою роль как выполнение санкционированного возврата, а не как самостоятельное решение о том, какие пострадавшие счета должны получить средства.

Предложение по управлению Cosmos Hub должно быть принято, прежде чем кошелёк сможет осуществить этот перевод. Команда по восстановлению Neutron ожидает подать предложение на предстоящей неделе, как только определит предлагаемый пункт назначения и процесс возврата. Сопровождающие Neutron также ожидают опубликовать свой отчёт об атаке в начале следующей недели.

Требование управления даёт держателям ATOM непосредственную роль в следующем шаге. Управление Cosmos Hub ранее решало другие вопросы, касающиеся токена: мартовское предложение Osmosis предусматривало конвертацию OSMO в ATOM и размещение невостребованных токенов в общественном пуле Hub, хотя более позднее голосование Hub отклонило этот план.

Что касается восстановления Neutron, Cosmos Labs заявила, что обеспеченные ATOM остаются в кошельке валидатора, пока готовится предложение. Компания поделилась адресами злоумышленника с более чем 30 биржами, мостами и кастодианами и заявила, что несколько из них подтвердили, что заблокировали эти адреса.