Översikt av Neutron-attacken
Validatorerna på Cosmos Hub har säkrat 1,23 miljoner ATOM som stals under en styrningsattack mot Neutron. Nätverket stoppades i cirka 24,5 timmar, och tokens flyttades till en återställningsplånbok. Cosmos Labs meddelade den 25 september att själva Hubben inte blev attackerad och att användarfonderna förblev opåverkade.
Detaljer om attacken
De stulna ATOM kom från Neutron, där ett illvilligt styrningsförslag gav angriparen kontroll över kontrakt som användes av Astroport och andra protokoll. Vid tidpunkten för Hubs stopp fanns 1 227 121 ATOM kvar i angriparens adress.
”Validatorerna startade om nätverket den 23 september med Gaia v28.3.0, en programuppdatering som flyttade saldot till en plånbok som kontrollerades av sex gemenskapsvalidatorer.”
Fyra av dem måste godkänna varje transaktion från den plånboken. Tokens hålls kvar medan Neutron-återställningsteamet förbereder en plan. Enligt arrangemanget som beskrivs av Cosmos Labs kan undertecknarna inte återföra medlen förrän ett styrningsförslag från Cosmos Hub godkänner överföringen.
Åtgärder efter attacken
Efter Neutron-attacken den 22 september skickade angriparen stulna tillgångar till flera kedjor och började byta några av ATOM genom THORChain, enligt Cosmos Labs redogörelse. Cirka 1,73 miljoner ATOM nådde Hubben, där angriparen skulle kunna ha fortsatt att flytta dem även efter att Neutron slutade producera block.
Neutron-bidragare och medlemmar i gemenskapen varnade Hub-validatorerna och Cosmos Labs vid cirka 09:50 UTC. Validatorer som representerade mer än en tredjedel av Hubs röstkraft stoppade sedan sina noder, vilket stoppade nätverket vid block 33 086 740 vid cirka 11:18 UTC.
Återställningsprocessen
Under pausen förberedde Cosmos Labs en engångsprogramändring på validatorernas begäran. Den skriftliga planen identifierade angriparens adress, destinationsplånboken, de sex föreslagna undertecknarna och det enda konto som uppdateringen skulle påverka. Validatorerna fick planen innan den patchade programvaran distribuerades.
”Nansen, Keplr, Enigma, Silknodes, Kiln och Polkachu gick med på att hålla de sex underteckningsnycklarna.”
Vid tidpunkten för den schemalagda omstarten hade validatorer som representerade mer än två tredjedelar av röstkraften installerat v28.3.0. Blockproduktionen återupptogs klockan 12:00 UTC den 23 september, och överföringen av 1 227 121,37 ATOM trädde i kraft cirka sex minuter senare.
Framtida åtgärder och återbetalning
Cosmos Labs sa att 174 av Hubs 180 validatorer var online vid slutet av dagen. De deltagande validatorerna inkluderade Coinbase och Kraken, vars roll var en del av Hubs koordinerade programvaruomstart. Cosmos Labs sa att börser och andra operatörer senare informerades om att insättningar och uttag kunde återupptas när nätverket var stabilt.
Det säkrade saldot representerar endast de ATOM som fortfarande fanns i angriparens Hub-adress när validatorerna stoppade kedjan. Cosmos Labs sa att cirka 500 000 ATOM redan hade bytts mot ETH genom THORChain innan stoppet och inte kunde återställas genom Hub-uppdateringen.
En separat THORChain-transaktion återvände 168 990,9 ATOM till angriparens adress strax efter att blockproduktionen återupptogs. Angriparen flyttade det saldot till Osmosis och sålde det, enligt foruminlägget.
Koordinering av återställning
Cosmos Labs identifierade stulna medel som hade flyttats genom dYdX, Noble, Osmosis, Axelar och EVM-kedjor, samt tillgångar som fortfarande fanns på Neutron. Team som hanterar dessa nätverk koordinerar sina egna återställningsinsatser, sa företaget.
En tidigare, separat incident påverkade programvara som användes av andra Cosmos-nätverk. I augusti rapporterade crypto.news att angripare utnyttjade en Cosmos EVM-brist över sex kedjor och konverterade stulna tokens till cirka 5,72 miljoner dollar i andra tillgångar.
Slutord
De sex undertecknarna har gått med på att hålla de återvunna ATOM utan att satsa, låna eller handla dem, sa Cosmos Labs. De beskriver sin roll som att genomföra en auktoriserad återbetalning, snarare än att själva besluta vilka påverkade konton som ska ta emot medel. Ett styrningsförslag från Cosmos Hub måste godkännas innan plånboken kan göra den överföringen.
Neutron-återställningsteamet förväntar sig att lämna in ett förslag under den kommande veckan, när de har fastställt den föreslagna destinationen och återbetalningsprocessen. Neutrons underhållare förväntar sig också att publicera sin redogörelse för attacken i början av nästa vecka.
