Cosmos intercetta 1,23 milioni di ATOM rubati, ma i rimborsi ora dipendono da un voto di governance

Un attaccante ha trasferito circa 1,73 milioni di ATOM rubati da Neutron al Cosmos Hub durante un attacco di governance del 22 settembre. I validatori del Hub hanno messo al sicuro 1.227.121,37 ATOM di quel flusso con una patch software di emergenza, ma i sei firmatari che lo detengono affermano che una proposta di governance separata del Hub deve essere approvata prima di rilasciare i fondi agli utenti e ai protocolli interessati.

Questa condizione, dettagliata in un resoconto del 25 settembre da Cosmos Labs, separa l'azione di emergenza intrapresa dai validatori per prevenire ulteriori deflussi dalla decisione su chi dovrebbe ricevere il denaro. L'indirizzo di recupero conteneva 1.227.121,374688 ATOM in una query di saldo del Hub alle 15:40 UTC del 26 settembre. I token erano sotto custodia, mentre Cosmos Labs ha dichiarato che il team di risposta di Neutron stava ancora preparando le prove e il piano di distribuzione che avrebbero supportato un rimborso.

Come i validatori hanno messo al sicuro gli ATOM

L'attacco è iniziato su Neutron il 22 settembre, quando una proposta di governance ha dato all'attaccante il controllo amministrativo sui contratti utilizzati da Astroport e altri protocolli, secondo i manutentori del Hub. L'attaccante ha trasferito alcuni degli asset rubati su altre reti, inclusi circa 1,73 milioni di ATOM al Cosmos Hub. Il Hub stesso non è stato sfruttato; è diventato il luogo dove parte del saldo rubato poteva ancora essere intercettato.

Mentre l'attaccante scambiava e collegava ATOM, i validatori del Hub hanno fermato la loro catena all'altezza 33.086.740. Hanno quindi concordato di riavviare su una versione patchata del software Gaia, v28.3.0. Alla prima altezza dopo l'arresto, la patch ha effettuato una modifica di stato una tantum che ha trasferito 1.227.121,37 ATOM dall'indirizzo del Hub collegato all'attaccante a un multisig di recupero prima che le transazioni ordinarie riprendessero. L'aggiornamento del Hub del 24 settembre afferma che il binario era limitato a quell'unico account sorgente e non ha modificato altri saldi o deleghe degli utenti.

Il processo è stato un aggiornamento coordinato dei validatori, non un voto on-chain che autorizzasse un risarcimento. Cosmos Labs afferma che i validatori hanno ricevuto gli indirizzi sorgente e di destinazione scritti, l'elenco dei sei firmatari e l'ambito proposto prima di costruire e distribuire il binario. I validatori che rappresentano oltre il 67% del potere di voto del Hub avevano confermato l'installazione prima del riavvio del 23 settembre. I blocchi sono ripresi alle 12:00 UTC e il trasferimento è entrato in vigore circa alle 12:06 UTC.

I manutentori hanno dichiarato che il binario è stato testato contro un fork dello stato della mainnet e distribuito con un checksum. La sua differenza sorgente è stata trattenuta in quel momento perché la pubblicazione avrebbe esposto le correzioni di sicurezza nella versione sottostante v28.2.0 che rimaneva sotto un embargo di divulgazione coordinata. Cosmos Labs ha dichiarato di aspettarsi di pubblicare la differenza dopo la scadenza dell'embargo. Questo era il suo programma di divulgazione del 25 settembre, non una conferma di un rilascio successivo.

La custodia degli ATOM rubati non stabilisce chi viene pagato

Nansen, Keplr, Enigma, Silknodes, Kiln e Polkachu sono i sei validatori nominati come firmatari del multisig. Qualsiasi quattro firme soddisfano la soglia tecnica del portafoglio per una transazione. I firmatari hanno dichiarato una condizione separata per utilizzare tale capacità: una proposta di segnalazione del Cosmos Hub approvata deve autorizzare un trasferimento legittimo. Cosmos Labs afferma di non avere chiavi per il portafoglio.

Questo crea due forme distinte di controllo. Una supermaggioranza di validatori ha concordato di cambiare lo stato del Hub durante l'arresto in modo che l'attaccante non potesse spostare il saldo già presente. I firmatari della custodia ora detengono quegli ATOM rubati, ma affermano che attenderanno un mandato di governance pubblico prima di decidere una destinazione. La patch di emergenza non ha identificato ogni legittimo richiedente né ha approvato un programma di distribuzione.

Il percorso proposto inizia dal lato di Neutron. Cosmos Labs ha dichiarato che Neutron era stato rilanciato con mitigazioni entro il 25 settembre, mentre i contributori e i protocolli interessati, inclusi Astroport e Drop, stavano preparando prove di ciò che era stato preso e dove dovrebbero andare gli asset recuperati. Si prevedeva che il team di risposta portasse o sostenesse una proposta del Hub nella settimana successiva. Se la governance di Neutron deve anche votare è una decisione che spetta a quella rete, ha affermato l'account del Hub.

La lista delle proposte di governance del Hub controllata alle 15:40 UTC del 26 settembre non mostrava alcun mandato approvato per il multisig di recupero tra le sue voci visibili post-incidente. La sua ultima proposta, 1057, riguardava il recupero di un client leggero Realio IBC. La proposta 1056, intitolata "Rimborso ATOM & Giustizia Bounty", era ancora in fase di voto e cercava un rimborso e una bounty diversi; non autorizzava la distribuzione del team di risposta Neutron da questo multisig. Pertanto, il requisito di governance rimaneva prospettico al momento del controllo.

Il trasferimento del Hub copriva gli ATOM presenti in un indirizzo collegato a un attaccante al momento dell'arresto. Non ha invertito l'attacco Neutron più ampio. Cosmos Labs ha dichiarato che circa 500.000 ATOM erano già stati scambiati tramite THORChain prima dell'arresto, mentre altri beni rubati hanno raggiunto reti oltre il Hub. Il suo account non stabilisce la dimensione finale della richiesta di ciascun account colpito né promette un rimborso completo.

Perché la patch non ha potuto catturare fondi successivi

Un altro 168.990,9 ATOM illustra il limite di tempo della patch. Un rimborso THORChain in sospeso ha raggiunto l'indirizzo dell'attaccante subito dopo il riavvio, dopo che il trasferimento una tantum era stato eseguito. Cosmos Labs ha affermato che i validatori sapevano che il rimborso poteva arrivare, ma cambiare il binario testato per catturarlo avrebbe richiesto codice diverso e un arresto più lungo. Gli ATOM restituiti sono stati trasferiti a Osmosis e venduti. È stato un arrivo successivo all'indirizzo dell'attaccante, separato dal saldo già trasferito al multisig. Una regola applicata una volta al riavvio non poteva automaticamente spazzare un deposito successivo.

Il piano di recupero del lato Neutron deve ancora stabilire chi deve cosa e dove dovrebbero andare i fondi. Una proposta del Hub sostenuta da quel piano darebbe quindi ai sei firmatari il mandato pubblico che dicono di richiedere. Fino a quando questi passaggi non si verificheranno, gli ATOM garantiti rimangono disponibili per il recupero, con i suoi destinatari irrisolti.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.