Введение
Валидаторы Cosmos Hub обеспечили 1,23 миллиона ATOM, полученных в результате атаки на управление Neutron, после остановки сети на примерно 24,5 часа и перемещения токенов на кошелек для восстановления. Cosmos Labs сообщила в обновлении от 25 сентября, что сам Hub не был атакован, и средства пользователей Hub не пострадали.
Суть атаки
Украденные ATOM пришли из Neutron, где злонамеренное предложение по управлению дало атакующему контроль над контрактами, используемыми Astroport и другими протоколами. На момент остановки Hub в адресе атакующего оставалось 1,227,121 ATOM.
Остановка сети и восстановление
Валидаторы перезапустили сеть 23 сентября, используя Gaia v28.3.0 — обновление программного обеспечения, которое переместило баланс на кошелек, контролируемый шестью валидаторами сообщества. Четыре из них должны одобрить любую транзакцию с этого кошелька. Токены удерживаются, пока команда по восстановлению Neutron готовит план.
Согласно соглашению, описанному Cosmos Labs, подписанты не могут вернуть средства, пока предложение по управлению Cosmos Hub не разрешит перевод.
Действия после атаки
После атаки Neutron 22 сентября атакующий отправил украденные активы на несколько цепочек и начал обменивать часть ATOM через THORChain, согласно отчету Cosmos Labs. Около 1,73 миллиона ATOM достигли Hub, где атакующий мог продолжать перемещать их даже после того, как Neutron прекратил производство блоков.
Участники Neutron и члены сообщества уведомили валидаторов Hub и Cosmos Labs примерно в 09:50 UTC. Валидаторы, представляющие более одной трети голосующей силы Hub, затем остановили свои узлы, остановив сеть на блоке 33,086,740 примерно в 11:18 UTC.
План восстановления
Во время паузы Cosmos Labs подготовила одноразовое изменение программного обеспечения по запросу валидаторов. Их письменный план определил адрес атакующего, целевой кошелек, шесть предложенных подписантов и единственный аккаунт, на который повлияет обновление. Валидаторы получили этот план до того, как исправленное программное обеспечение было распространено.
Nansen, Keplr, Enigma, Silknodes, Kiln и Polkachu согласились удерживать шесть ключей для подписания. Cosmos Labs сообщила, что подписанты независимо проверили адрес кошелька и подтвердили его с помощью тестовой транзакции, прежде чем разработчики добавили его в обновление.
Возобновление производства блоков
К моменту запланированного перезапуска валидаторы, представляющие более двух третей голосующей силы, установили v28.3.0. Производство блоков возобновилось в 12:00 UTC 23 сентября, и перевод 1,227,121.37 ATOM вступил в силу примерно через шесть минут.
Cosmos Labs сообщила, что 174 из 180 валидаторов Hub были онлайн к концу того дня. Участвующие валидаторы включали Coinbase и Kraken, согласно обновлению. Их роль была частью скоординированного перезапуска программного обеспечения Hub.
Проблемы с возвратом средств
Обеспеченный баланс представляет собой только те ATOM, которые все еще находились в адресе атакующего Hub, когда валидаторы остановили цепочку. Cosmos Labs сообщила, что примерно 500,000 ATOM уже были обменяны на ETH через THORChain до остановки и не могли быть восстановлены через обновление Hub.
Отдельная транзакция THORChain вернула 168,990.9 ATOM в адрес атакующего вскоре после возобновления производства блоков. Атакующий переместил этот баланс на Osmosis и продал его, согласно сообщению на форуме.
Заключение
Команда по восстановлению Neutron ожидает представить предложение на следующей неделе, как только она определит предложенное направление и процесс возврата. Поддерживающие Neutron также ожидают опубликовать свой отчет о атаке в начале следующей недели.
Требование по управлению дает держателям ATOM прямую роль в следующем шаге. Управление Cosmos Hub ранее решало другие вопросы, касающиеся токена, и теперь ожидается, что предложенное управление будет принято для осуществления перевода средств.
