Incident de sécurité sur Neutron
Les validateurs de Cosmos Hub ont sécurisé 1,23 million d’ATOM suite à une attaque de gouvernance sur Neutron, après avoir suspendu le réseau pendant environ 24,5 heures et transféré les jetons vers un portefeuille de récupération. Cosmos Labs a déclaré dans une mise à jour du 25 septembre que le Hub lui-même n’avait pas été attaqué et que les fonds des utilisateurs du Hub n’avaient pas été affectés.
Détails de l’attaque
Les ATOM volés provenaient de Neutron, où une proposition de gouvernance malveillante a permis à l’attaquant de prendre le contrôle de contrats utilisés par Astroport et d’autres protocoles. Au moment de l’arrêt du Hub, 1 227 121 ATOM restaient dans l’adresse de l’attaquant.
« Les validateurs ont redémarré le réseau le 23 septembre en utilisant Gaia v28.3.0, une mise à jour logicielle qui a transféré le solde vers un portefeuille contrôlé par six validateurs communautaires. »
Quatre d’entre eux doivent approuver toute transaction de ce portefeuille. Les jetons sont conservés pendant que l’équipe de récupération de Neutron élabore un plan. Selon l’arrangement décrit par Cosmos Labs, les signataires ne peuvent pas retourner les fonds tant qu’une proposition de gouvernance de Cosmos Hub n’autorise pas le transfert.
Réaction des validateurs
Après l’attaque de Neutron le 22 septembre, l’attaquant a envoyé des actifs volés vers plusieurs chaînes et a commencé à échanger une partie des ATOM via THORChain. Environ 1,73 million d’ATOM ont atteint le Hub, où l’attaquant aurait pu continuer à les déplacer même après que Neutron ait cessé de produire des blocs.
Les contributeurs de Neutron et les membres de la communauté ont alerté les validateurs du Hub et Cosmos Labs vers 09h50 UTC. Les validateurs représentant plus d’un tiers du pouvoir de vote du Hub ont ensuite arrêté leurs nœuds, mettant le réseau à l’arrêt au bloc 33 086 740 vers 11h18 UTC.
Plan de récupération
Pendant cette pause, Cosmos Labs a préparé un changement logiciel unique à la demande des validateurs. Son plan écrit a identifié l’adresse de l’attaquant, le portefeuille de destination, les six signataires proposés et le compte unique que la mise à jour affecterait. Les validateurs ont reçu ce plan avant que le logiciel corrigé ne soit distribué.
« Au moment du redémarrage prévu, les validateurs représentant plus des deux tiers du pouvoir de vote avaient installé v28.3.0. »
La production de blocs a repris à 12h00 UTC le 23 septembre, et le transfert de 1 227 121,37 ATOM a été effectué environ six minutes plus tard. Cosmos Labs a déclaré que 174 des 180 validateurs du Hub étaient en ligne à la fin de cette journée.
Conséquences et prochaines étapes
Les validateurs participants comprenaient Coinbase et Kraken, selon la mise à jour. Leur rôle faisait partie du redémarrage logiciel coordonné du Hub ; Cosmos Labs a déclaré que les échanges et autres opérateurs avaient ensuite été informés que les dépôts et les retraits pouvaient reprendre une fois le réseau stabilisé.
Le solde sécurisé représente uniquement les ATOM encore dans l’adresse du Hub de l’attaquant lorsque les validateurs ont arrêté la chaîne. Cosmos Labs a déclaré qu’environ 500 000 ATOM avaient déjà été échangés contre de l’ETH via THORChain avant l’arrêt et ne pouvaient pas être récupérés par la mise à jour du Hub.
Une transaction distincte sur THORChain a retourné 168 990,9 ATOM à l’adresse de l’attaquant peu après la reprise de la production de blocs. L’attaquant a déplacé ce solde vers Osmosis et l’a vendu, selon un message sur le forum.
Cosmos Labs a déclaré que le remboursement possible avait été identifié pendant que les validateurs se préparaient à redémarrer, après que le logiciel corrigé avait été distribué et installé par de nombreux opérateurs. La mise à jour a autorisé un seul transfert du solde présent au moment de l’arrêt.
Elle n’a pas bloqué les transactions ultérieures de l’adresse de l’attaquant ni déplacé les fonds arrivés après le redémarrage. La réponse du Hub n’a également pas couvert les actifs envoyés vers d’autres réseaux.
Coordination des efforts de récupération
Cosmos Labs a identifié des fonds volés qui avaient transité par dYdX, Noble, Osmosis, Axelar et des chaînes EVM, ainsi que des actifs toujours sur Neutron. Les équipes gérant ces réseaux coordonnent leurs propres efforts de récupération, a déclaré la société.
Un incident distinct antérieur a affecté le logiciel utilisé par d’autres réseaux Cosmos. En août, crypto.news a rapporté que des attaquants avaient exploité une faille EVM de Cosmos sur six chaînes et converti des jetons volés en environ 5,72 millions de dollars d’autres actifs.
Les six signataires ont convenu de conserver les ATOM récupérés sans les staker, les prêter ou les échanger, a déclaré Cosmos Labs. Ils décrivent leur rôle comme l’exécution d’un retour autorisé, plutôt que de décider eux-mêmes quels comptes affectés devraient recevoir des fonds.
Une proposition de gouvernance de Cosmos Hub doit être adoptée avant que le portefeuille puisse effectuer ce transfert. L’équipe de récupération de Neutron s’attend à soumettre une proposition dans la semaine à venir, une fois qu’elle aura défini la destination proposée et le processus de retour.
Les mainteneurs de Neutron s’attendent également à publier leur rapport sur l’attaque au début de la semaine prochaine. L’exigence de gouvernance donne aux détenteurs d’ATOM un rôle direct dans la prochaine étape.
