Nach dem Governance-Angriff auf Neutron am 22. September haben Validatoren des Cosmos Hub per Notfall-Upgrade 1.227.121,37 mit dem Angreifer verbundene ATOM in eine Multisignatur-Wallet verschoben. Die Token wurden bislang nicht zurückgegeben. Die sechs Unterzeichner der Wallet erklären, dass zunächst ein Governance-Vorschlag des Cosmos Hub die Übertragung genehmigen muss. Erst danach wollen sie die Vermögenswerte freigeben. Der Eingriff stoppte die weitere Bewegung eines Teils der betroffenen Mittel. Die Entschädigung von Nutzern und Protokollen sowie die Verteilung der Token sind jedoch weiterhin ungeklärt.
Validatoren verschieben ATOM per Software-Upgrade
Das Wartungsteam von Neutron erklärte, der Angreifer habe am 22. September über einen Governance-Vorschlag administrative Kontrolle über Smart Contracts erlangt, die von Astroport und weiteren Protokollen genutzt werden. Anschließend wurden Teile der Vermögenswerte auf andere Netzwerke verschoben, darunter rund 1,73 Millionen ATOM zum Cosmos Hub. Der Hub selbst wurde nicht angegriffen, entwickelte sich aber zu einem der Netzwerke, in denen ein Teil der Mittel abgefangen werden konnte.
Während der Angreifer ATOM tauschte und über verschiedene Netzwerke transferierte, stoppten die Validatoren den Hub bei Blockhöhe 33.086.740. Sie beschlossen, die Blockchain mit der Gaia-Softwareversion 28.3.0 neu zu starten. Das Update führte im ersten Block nach dem Neustart eine einmalige Zustandsänderung aus: 1.227.121,37 ATOM wurden von einer mit dem Angreifer verbundenen Adresse in eine Wiederherstellungs-Wallet mit Multisignatur übertragen. Danach nahm der Hub den regulären Transaktionsbetrieb wieder auf. Ein Update des Wartungsteams vom 24. September zufolge betraf der Patch nur ein Quellkonto. Guthaben und delegierte Einsätze anderer Nutzer wurden nicht verändert.
Bei der Maßnahme handelte es sich um ein koordiniertes Software-Upgrade der Validatoren, nicht um eine Entschädigung, die durch eine On-Chain-Governance-Abstimmung beschlossen worden wäre. Cosmos Labs teilte mit, dass die Validatoren vor der Erstellung und Verteilung der Software schriftliche Angaben erhalten hatten. Dazu gehörten die sendende und die empfangende Adresse, die sechs Unterzeichner sowie der Umfang des Patches. Vor dem Neustart am 23. September hatten Validatoren mit mehr als 67 Prozent der Stimmkraft die Installation bestätigt. Die Blockchain wurde um 12:00 Uhr UTC wieder aufgenommen, die Übertragung der Vermögenswerte erfolgte gegen 12:06 Uhr UTC.
Das Wartungsteam erklärte, der Patch sei auf einer Abspaltung des Mainnet-Zustands getestet und mit einer Prüfsumme verteilt worden. Da ein Sicherheitsfix in der zugrunde liegenden Gaia-Version 28.2.0 zu diesem Zeitpunkt noch einem abgestimmten Veröffentlichungsaufschub unterlag, wurden die Unterschiede im Quellcode zunächst nicht veröffentlicht. Cosmos Labs erklärte am 25. September, die Abweichungen nach Ende dieser Sperrfrist veröffentlichen zu wollen. Damit war der damalige Veröffentlichungsplan beschrieben; daraus lässt sich nicht ableiten, dass die Unterlagen später tatsächlich veröffentlicht wurden.
Multisignatur-Unterzeichner verlangen Governance-Beschluss
Nansen, Keplr, Enigma, Silknodes, Kiln und Polkachu sind als sechs Unterzeichner der Wiederherstellungs-Wallet aufgeführt. Technisch benötigt die Wallet mindestens vier der sechs Signaturen, um eine Transaktion auszuführen. Die Unterzeichner erklärten jedoch, diese Befugnis erst nach der Verabschiedung eines Governance-Vorschlags des Cosmos Hub zu nutzen, der die Übertragung ausdrücklich genehmigt. Cosmos Labs teilte mit, selbst nicht über die Schlüssel der Wallet zu verfügen.
Damit ist die Sicherung der Vermögenswerte von der Entscheidung über die Empfänger und eine mögliche Entschädigung getrennt. Während des Stopps veränderten die Validatoren den Zustand des Hub, um zu verhindern, dass der Angreifer bereits auf dem Netzwerk befindliche Guthaben weiter bewegt. Die Unterzeichner der Multisignatur-Wallet drängen nun auf ein öffentliches Governance-Verfahren, das über die Verwendung der Mittel entscheidet. Der Notfall-Patch legte weder alle berechtigten Anspruchsteller fest noch genehmigte er einen Zeitplan für die Verteilung.
Neutron soll den nächsten Schritt des Verfahrens vorbereiten. Nach Angaben von Cosmos Labs hatte Neutron bis zum 25. September Maßnahmen zur Eindämmung ergriffen und den Betrieb wieder aufgenommen. Beteiligte sowie betroffene Protokolle, darunter Astroport und Drop, stellten zu diesem Zeitpunkt noch Belege für die Verluste und Pläne zur Verteilung zusammen. Das Reaktionsteam erwartete damals, in der folgenden Woche einen Vorschlag für den Cosmos Hub einzureichen oder zu unterstützen. Ob zusätzlich eine separate Abstimmung innerhalb der Neutron-Governance erforderlich sein würde, sollte dieses Netzwerk entscheiden.
Am 26. September um 15:40 Uhr UTC war in der Governance-Übersicht des Cosmos Hub kein nach dem Vorfall eingereichter Vorschlag verabschiedet worden, der die Multisignatur-Wallet zur Verteilung der Mittel ermächtigte. Vorschlag 1057 befasste sich mit der Wiederherstellung des Realio-IBC-Light-Clients. Vorschlag 1056 mit dem Titel „ATOM Refund & Justice Bounty“ befand sich noch in der Abstimmung und sah eine andere Struktur für Rückerstattung und Prämie vor. Er ermächtigte das Neutron-Reaktionsteam nicht dazu, Vermögenswerte aus der Multisignatur-Wallet zu verteilen. Die von den Unterzeichnern geforderte Governance-Genehmigung stand zu diesem Zeitpunkt daher weiterhin aus.
Weitere 168.990,9 ATOM trafen nach dem Patch ein
Die in die Multisignatur-Wallet verschobenen Mittel umfassten nur die ATOM, die sich beim Anhalten der Blockchain noch auf einer einzelnen, mit dem Angreifer verbundenen Adresse befanden. Der Patch machte den gesamten Neutron-Angriff nicht rückgängig. Cosmos Labs zufolge waren bereits rund 500.000 ATOM vor dem Stopp über THORChain getauscht worden. Weitere gestohlene Vermögenswerte waren auf Netzwerke außerhalb des Cosmos Hub gelangt. Die vorliegenden Angaben legten weder fest, welchen Betrag die einzelnen betroffenen Konten letztlich beanspruchen können, noch stellten sie eine vollständige Rückerstattung in Aussicht.
Weitere 168.990,9 ATOM zeigen die zeitliche Begrenzung des Patches. Eine ausstehende Rückerstattung über THORChain erreichte die Adresse des Angreifers kurz nach dem Neustart der Blockchain, nachdem die einmalige Übertragung bereits ausgeführt worden war. Cosmos Labs erklärte, die Validatoren hätten mit diesem möglichen Zufluss gerechnet. Eine Einbeziehung hätte jedoch neuen Code und einen längeren Stopp erfordert, weil der getestete Patch hätte geändert werden müssen. Die ATOM wurden anschließend zu Osmosis verschoben und verkauft. Da der Patch nur während des Neustarts ausgeführt wurde, konnte er später eingegangene Vermögenswerte nicht automatisch sichern.
Neutron muss weiterhin die Verluste, die berechtigten Anspruchsteller und den Verteilungsplan prüfen, bevor ein Governance-Vorschlag des Cosmos Hub die von den Unterzeichnern geforderte öffentliche Genehmigung erteilen kann. Bis diese Schritte abgeschlossen sind, bleiben die bereits in die Wallet verschobenen rund 1,227 Millionen ATOM unter Verwahrung; wer die Mittel letztlich erhält, ist weiterhin nicht entschieden.