Attacco di Governance Neutron e Recupero di ATOM
I validatori di Cosmos Hub hanno messo al sicuro 1,23 milioni di ATOM sottratti in un attacco di governance Neutron, dopo aver fermato la rete per circa 24,5 ore e trasferito i token in un portafoglio di recupero. Cosmos Labs ha dichiarato in un aggiornamento del 25 settembre che l’Hub stesso non è stato attaccato e i fondi degli utenti dell’Hub non sono stati compromessi.
Dettagli dell’Attacco
Gli ATOM rubati provenivano da Neutron, dove una proposta di governance malevola ha dato all’attaccante il controllo sui contratti utilizzati da Astroport e altri protocolli. Al momento dell’arresto dell’Hub, 1.227.121 ATOM rimanevano nell’indirizzo dell’attaccante.
I validatori hanno riavviato la rete il 23 settembre utilizzando Gaia v28.3.0, un aggiornamento software che ha trasferito il saldo in un portafoglio controllato da sei validatori della comunità. Quattro di loro devono approvare qualsiasi transazione da quel portafoglio. I token sono stati trattenuti mentre il team di recupero di Neutron prepara un piano.
Secondo l’accordo descritto da Cosmos Labs, i firmatari non possono restituire i fondi fino a quando una proposta di governance di Cosmos Hub non autorizza il trasferimento.
Risposta e Coordinamento
Dopo l’attacco di Neutron del 22 settembre, l’attaccante ha inviato beni rubati a diverse catene e ha iniziato a scambiare alcuni degli ATOM tramite THORChain, secondo il resoconto di Cosmos Labs. Circa 1,73 milioni di ATOM hanno raggiunto l’Hub, dove l’attaccante avrebbe potuto continuare a muoverli anche dopo che Neutron ha smesso di produrre blocchi.
I collaboratori di Neutron e i membri della comunità hanno avvisato i validatori dell’Hub e Cosmos Labs intorno alle 09:50 UTC. I validatori che rappresentano più di un terzo del potere di voto dell’Hub hanno quindi fermato i loro nodi, portando la rete a un arresto al blocco 33.086.740 intorno alle 11:18 UTC.
Durante la pausa, Cosmos Labs ha preparato una modifica software una tantum su richiesta dei validatori. Il suo piano scritto ha identificato l’indirizzo dell’attaccante, il portafoglio di destinazione, i sei firmatari proposti e l’unico account che l’aggiornamento avrebbe influenzato.
Riavvio della Rete e Sicurezza dei Fondi
I validatori hanno ricevuto quel piano prima che il software corretto fosse distribuito. Nansen, Keplr, Enigma, Silknodes, Kiln e Polkachu hanno concordato di detenere le sei chiavi di firma. Cosmos Labs ha dichiarato che i firmatari hanno controllato indipendentemente l’indirizzo del portafoglio e lo hanno verificato con una transazione di prova prima che gli sviluppatori lo aggiungessero all’aggiornamento.
Al momento del riavvio programmato, i validatori che rappresentano più di due terzi del potere di voto avevano installato v28.3.0. La produzione di blocchi è ripresa alle 12:00 UTC del 23 settembre, e il trasferimento di 1.227.121,37 ATOM è entrato in vigore circa sei minuti dopo.
Cosmos Labs ha dichiarato che 174 dei 180 validatori dell’Hub erano online entro la fine di quel giorno. I validatori partecipanti includevano Coinbase e Kraken, secondo l’aggiornamento.
Situazione Attuale e Prospettive Future
Il saldo messo al sicuro rappresenta solo gli ATOM ancora presenti nell’indirizzo dell’attaccante dell’Hub quando i validatori hanno fermato la catena. Cosmos Labs ha dichiarato che circa 500.000 ATOM erano già stati scambiati per ETH tramite THORChain prima dell’arresto e non potevano essere recuperati tramite l’aggiornamento dell’Hub.
Una transazione separata di THORChain ha restituito 168.990,9 ATOM all’indirizzo dell’attaccante poco dopo la ripresa della produzione di blocchi. L’attaccante ha trasferito quel saldo a Osmosis e lo ha venduto, secondo il post del forum.
Cosmos Labs ha identificato fondi rubati che si erano mossi attraverso dYdX, Noble, Osmosis, Axelar e catene EVM, così come beni ancora su Neutron.
I team che gestiscono quelle reti stanno coordinando i propri sforzi di recupero, ha dichiarato l’azienda. Un precedente incidente separato ha colpito il software utilizzato da altre reti Cosmos. Ad agosto, crypto.news ha riportato che gli attaccanti avevano sfruttato un difetto di Cosmos EVM su sei catene e convertito token rubati in circa 5,72 milioni di dollari in altri beni.
Il team di recupero di Neutron prevede di presentare una proposta nella prossima settimana, una volta che avrà definito la destinazione proposta e il processo di restituzione. Il requisito di governance dà ai detentori di ATOM un ruolo diretto nel prossimo passo.
