Os validadores do Cosmos Hub transferiram 1.227.121,37 ATOM associados ao atacante da Neutron para uma carteira com assinaturas múltiplas, depois de uma atualização de emergência aplicada após o ataque de governação de 22 de setembro. Os ativos continuam retidos: os seis signatários da carteira afirmam que só autorizarão a transferência depois de uma proposta aprovada pela governação do Cosmos Hub.
A intervenção impediu que parte dos fundos afetados continuasse a circular, mas ainda não resolveu a compensação dos utilizadores e protocolos lesados nem os critérios para distribuir os ativos recuperados.
Validadores transferiram os ATOM através de uma atualização
A equipa de manutenção da Neutron afirmou que o atacante utilizou uma proposta de governação em 22 de setembro para obter controlo administrativo sobre contratos usados pela Astroport e por outros protocolos. Depois, transferiu parte dos ativos para outras redes, incluindo cerca de 1,73 milhões de ATOM enviados para o Cosmos Hub. O Hub não foi alvo direto do ataque, mas tornou-se uma das redes onde parte dos fundos podia ser intercetada.
Enquanto o atacante trocava e fazia a ponte dos ATOM entre redes, os validadores do Hub interromperam a cadeia no bloco 33.086.740 e aprovaram o reinício com a versão 28.3.0 do software Gaia. A correção executou uma alteração única no estado da rede, no primeiro bloco após o reinício, transferindo 1.227.121,37 ATOM de um endereço associado ao atacante para uma carteira multisig de recuperação. As transações normais foram retomadas depois disso.
Numa atualização de 24 de setembro, a equipa de manutenção do Cosmos Hub indicou que a correção abrangia apenas uma conta de origem e não alterava os saldos ou os montantes delegados de outros utilizadores.
Tratou-se de uma atualização coordenada do software dos validadores, e não de uma compensação aprovada através de uma votação de governação on-chain. A Cosmos Labs disse que os validadores receberam informação escrita antes de o software ser compilado e distribuído. Essa informação incluía os endereços de envio e receção, os seis signatários e o alcance da correção.
Antes do reinício de 23 de setembro, validadores que representavam mais de 67% do poder de voto do Hub tinham confirmado a instalação. A cadeia foi retomada às 12:00 UTC e a transferência dos ativos ocorreu por volta das 12:06 UTC.
A equipa de manutenção afirmou que a correção foi testada numa bifurcação do estado da rede principal e distribuída com um checksum. Como uma correção de segurança incluída na versão Gaia v28.2.0 ainda estava sujeita a um período de divulgação coordenada, as diferenças no código-fonte não foram publicadas inicialmente. A Cosmos Labs disse, em 25 de setembro, que esperava divulgar essas diferenças depois do fim do embargo. Esse era o plano de divulgação indicado na altura e não confirma que o material tenha sido publicado posteriormente.
Signatários exigem autorização formal do Hub
Nansen, Keplr, Enigma, Silknodes, Kiln e Polkachu são os seis validadores identificados como signatários da carteira multisig de recuperação. Tecnicamente, a carteira exige pelo menos quatro das seis assinaturas para executar uma transação. Ainda assim, os signatários afirmaram que só exercerão essa autoridade depois de uma proposta de governação do Cosmos Hub aprovar e autorizar a transferência. A Cosmos Labs disse não deter as chaves da carteira.
A distinção é relevante porque intercetar os ativos não equivale a decidir quem deve ser compensado. Durante a interrupção da cadeia, os validadores alteraram o estado do Hub para impedir o atacante de movimentar saldos que já se encontravam na rede. Agora, os signatários da multisig procuram um processo público de governação que determine o destino dos fundos.
A atualização de emergência não identificou todos os possíveis titulares de direitos nem aprovou um calendário para a distribuição. A Neutron deverá preparar a fase seguinte do processo. A Cosmos Labs afirmou que, em 25 de setembro, a Neutron já tinha adotado medidas de mitigação e retomado as operações.
Os participantes e protocolos afetados, incluindo a Astroport e a Drop, continuavam a reunir provas sobre as perdas e a preparar planos de distribuição. Na altura, a equipa de resposta esperava apresentar ou apoiar uma proposta no Hub durante a semana seguinte. A necessidade de uma votação separada na governação da Neutron ficaria a cargo dessa rede.
Às 15:40 UTC de 26 de setembro, nenhuma proposta pós-incidente visível na lista de governação do Cosmos Hub tinha sido aprovada com autorização para a multisig distribuir os fundos. A proposta 1057 dizia respeito à reposição do cliente light do Realio IBC. A proposta 1056, intitulada “ATOM Refund & Justice Bounty”, ainda estava em votação e tinha uma estrutura diferente de reembolso e recompensa. Não autorizava a equipa de resposta da Neutron a distribuir ativos da carteira multisig.
A autorização de governação solicitada pelos signatários continuava, portanto, pendente nessa altura.
Mais 168.990,9 ATOM chegaram depois da correção
Os fundos transferidos para a multisig correspondiam apenas aos ATOM que permaneciam num endereço ligado ao atacante no momento em que a cadeia foi interrompida. A medida não reverteu todo o ataque à Neutron.
A Cosmos Labs afirmou que cerca de 500.000 ATOM já tinham sido trocados através da THORChain antes da interrupção, enquanto outros ativos roubados tinham sido enviados para redes fora do Hub. As informações divulgadas não determinavam quanto poderia reclamar cada conta afetada nem prometiam um reembolso integral.
A chegada posterior de mais 168.990,9 ATOM mostra a limitação temporal da correção. Um reembolso pendente da THORChain chegou ao endereço do atacante pouco depois do reinício da cadeia, quando a transferência única já tinha sido executada.
Segundo a Cosmos Labs, os validadores sabiam que esse reembolso poderia chegar, mas incluí-lo teria exigido novo código e uma interrupção mais longa, uma vez que a correção testada teria de ser alterada. Os ATOM foram posteriormente transferidos para a Osmosis e vendidos. Como a correção só foi executada durante o reinício, não podia recuperar automaticamente ativos recebidos mais tarde.
A Neutron ainda precisa de verificar as perdas, os titulares elegíveis e o plano de distribuição antes de uma proposta de governação do Hub poder conceder a autorização pública solicitada pelos signatários da multisig. Até esses passos serem concluídos, cerca de 1,227 milhões de ATOM permanecem sob custódia da carteira, sem destinatários finais definidos.