หลังเกิดเหตุโจมตีธรรมาภิบาล Neutron เมื่อวันที่ 22 กันยายน ผู้ตรวจสอบ Cosmos Hub อัปเกรดซอฟต์แวร์ฉุกเฉินและโอน ATOM ที่เกี่ยวข้องกับผู้โจมตีจำนวน 1.227 ล้านเหรียญเข้ากระเป๋า multisig อย่างไรก็ตาม เงินยังไม่ได้ถูกส่งคืน โดยผู้ลงนามทั้งหกระบุว่าจะดำเนินการได้ก็ต่อเมื่อข้อเสนอธรรมาภิบาลของ Cosmos Hub ผ่านการอนุมัติ การสกัดกั้นช่วยหยุดการเคลื่อนย้ายสินทรัพย์บางส่วน แต่ผู้ใช้และโปรโตคอลที่ได้รับผลกระทบจะได้รับการชดเชยหรือจัดสรรเงินอย่างไร ยังต้องรอกระบวนการถัดไป
ผู้ตรวจสอบโอน ATOM เข้ากระเป๋ากู้คืนผ่านอัปเดตซอฟต์แวร์
ทีม Neutron ระบุว่า เมื่อวันที่ 22 กันยายน ผู้โจมตีใช้ประโยชน์จากข้อเสนอธรรมาภิบาลเพื่อยึดสิทธิ์ผู้ดูแลสัญญาที่ Astroport และโปรโตคอลอื่นใช้งาน จากนั้นจึงโอนสินทรัพย์บางส่วนไปยังเครือข่ายอื่น โดยมี ATOM ราว 1.73 ล้านเหรียญเข้าสู่ Cosmos Hub แม้ตัว Hub จะไม่ได้ถูกโจมตี แต่เป็นหนึ่งในจุดที่สามารถสกัดกั้นสินทรัพย์บางส่วนได้
ระหว่างที่ผู้โจมตีแลกเปลี่ยนและโอน ATOM ข้ามเครือข่าย ผู้ตรวจสอบ Hub หยุดบล็อกเชนที่ความสูงบล็อก 33,086,740 และเห็นชอบให้เริ่มระบบใหม่ด้วยซอฟต์แวร์ Gaia v28.3.0 แพตช์ดังกล่าวปรับสถานะเพียงครั้งเดียวในบล็อกแรกหลังระบบกลับมาทำงาน โดยย้าย ATOM จำนวน 1,227,121.37 เหรียญจากที่อยู่ที่เชื่อมโยงกับผู้โจมตีไปยังกระเป๋า multisig สำหรับกู้คืน ก่อนเปิดให้ทำธุรกรรมตามปกติอีกครั้ง อัปเดตของทีมดูแล Cosmos Hub เมื่อวันที่ 24 กันยายนระบุว่า แพตช์มุ่งเป้าไปที่บัญชีต้นทางเพียงบัญชีเดียว และไม่เปลี่ยนยอดคงเหลือหรือสิทธิ์มอบหมายเหรียญของผู้ใช้อื่น
การดำเนินการนี้เป็นการประสานงานอัปเกรดซอฟต์แวร์ของผู้ตรวจสอบ ไม่ใช่การลงมติธรรมาภิบาลบนเชนเพื่ออนุมัติการชดเชย Cosmos Labs ระบุว่า ก่อนจัดทำและเผยแพร่ซอฟต์แวร์ ผู้ตรวจสอบได้รับคำชี้แจงเป็นลายลักษณ์อักษรเกี่ยวกับที่อยู่ต้นทางและปลายทาง ผู้ลงนามทั้งหก และขอบเขตของแพตช์ ก่อนการรีสตาร์ตวันที่ 23 กันยายน ผู้ตรวจสอบที่มีอำนาจโหวตรวมกันมากกว่า 67% ของ Hub ยืนยันว่าติดตั้งซอฟต์แวร์แล้ว บล็อกเชนกลับมาทำงานเวลา 12:00 UTC และการโอนสินทรัพย์มีผลราว 12:06 UTC
ทีมดูแลระบุว่าได้ทดสอบแพตช์บนสถานะจำลองของเมนเน็ต และเผยแพร่ในรูปแบบค่า checksum โดยยังไม่เปิดเผยความแตกต่างของซอร์สโค้ดในขณะนั้น เนื่องจากการแก้ไขด้านความปลอดภัยใน Gaia v28.2.0 ยังอยู่ในช่วงห้ามเปิดเผยข้อมูลที่ประสานงานกันไว้ Cosmos Labs ระบุเมื่อวันที่ 25 กันยายนว่าคาดว่าจะเผยแพร่รายละเอียดความแตกต่างหลังพ้นช่วงดังกล่าว นั่นเป็นกำหนดการเปิดเผยที่แจ้งไว้ในเวลานั้น ไม่ได้ยืนยันว่ามีการเผยแพร่ในภายหลังแล้ว
ผู้ลงนามทั้งหกรอข้อเสนอธรรมาภิบาลของ Hub
Nansen, Keplr, Enigma, Silknodes, Kiln และ Polkachu คือผู้ตรวจสอบทั้งหกที่ระบุชื่อไว้ในกระเป๋า multisig สำหรับกู้คืน ในทางเทคนิค การทำธุรกรรมต้องมีลายเซ็นอย่างน้อย 4 ใน 6 ราย แต่ผู้ลงนามระบุว่าจะใช้สิทธิ์ดังกล่าวก็ต่อเมื่อข้อเสนอธรรมาภิบาลของ Cosmos Hub ผ่านและให้อำนาจโอนเงิน Cosmos Labs ยืนยันว่าบริษัทไม่ได้ถือกุญแจของกระเป๋านี้
การสกัดกั้นสินทรัพย์กับการตัดสินใจว่าใครจะได้รับเงินจึงเป็นคนละขั้นตอน ผู้ตรวจสอบแก้ไขสถานะของ Hub ระหว่างการหยุดระบบเพื่อป้องกันไม่ให้ผู้โจมตีโอนยอดคงเหลือที่อยู่บน Hub ต่อไป ขณะที่ผู้ลงนาม multisig ต้องการให้กำหนดปลายทางของเงินผ่านกระบวนการธรรมาภิบาลแบบเปิดเผย แพตช์ฉุกเฉินไม่ได้ยืนยันรายชื่อผู้มีสิทธิ์เรียกร้องทั้งหมด และไม่ได้อนุมัติกำหนดเวลาการจัดสรรเงิน
คาดว่าขั้นตอนต่อไปจะเริ่มจากฝั่ง Neutron โดย Cosmos Labs ระบุว่า ณ วันที่ 25 กันยายน Neutron ได้ดำเนินมาตรการบรรเทาผลกระทบและกลับมาเปิดให้บริการแล้ว ผู้มีส่วนเกี่ยวข้องและโปรโตคอลที่ได้รับผลกระทบ เช่น Astroport และ Drop ยังรวบรวมหลักฐานความเสียหายและจัดทำแผนแบ่งเงิน ทีมที่ตอบสนองเหตุการณ์คาดว่าจะเสนอหรือสนับสนุนข้อเสนอของ Hub ภายในสัปดาห์ถัดไป ส่วนจะต้องมีการลงมติแยกต่างหากโดยธรรมาภิบาลของ Neutron หรือไม่ ให้เครือข่ายนั้นเป็นผู้ตัดสินใจ
ณ วันที่ 26 กันยายน เวลา 15:40 UTC ข้อเสนอที่ยื่นหลังเกิดเหตุและปรากฏในรายการธรรมาภิบาลของ Cosmos Hub ยังไม่มีข้อใดผ่านเพื่ออนุมัติการจัดสรรเงินจากกระเป๋า multisig สำหรับกู้คืน ข้อเสนอหมายเลข 1057 ล่าสุดเกี่ยวข้องกับการกู้คืน IBC light client ของ Realio ส่วนข้อเสนอหมายเลข 1056 ชื่อ “ATOM Refund & Justice Bounty” ยังอยู่ระหว่างลงคะแนน และมีเงื่อนไขเรื่องคืนเงินกับเงินรางวัลที่แตกต่างออกไป โดยไม่ได้ให้อำนาจทีมตอบสนองเหตุการณ์ Neutron จัดสรรสินทรัพย์จากกระเป๋า multisig นี้ ดังนั้น ณ เวลาดังกล่าว การอนุมัติธรรมาภิบาลที่ผู้ลงนามเรียกร้องยังไม่เกิดขึ้น
ATOM อีก 169,000 เหรียญเข้าหลังแพตช์ทำงาน
เงินที่โอนไปยัง multisig มีเพียง ATOM ที่ยังคงอยู่ในที่อยู่หนึ่งซึ่งเชื่อมโยงกับผู้โจมตีขณะหยุดระบบ ไม่ได้ย้อนคืนการโจมตี Neutron ทั้งหมด Cosmos Labs ระบุว่า ATOM ราว 500,000 เหรียญถูกแลกผ่าน THORChain ก่อนการหยุดระบบ ขณะที่สินทรัพย์ที่ถูกขโมยส่วนอื่นถูกโอนไปยังเครือข่ายนอก Hub ข้อมูลที่เปิดเผยยังไม่ได้ระบุยอดที่แต่ละบัญชีซึ่งได้รับผลกระทบจะเรียกร้องได้ และไม่มีการรับรองว่าจะชดเชยเต็มจำนวน
ATOM อีก 168,990.9 เหรียญสะท้อนข้อจำกัดด้านเวลาของแพตช์ เงินคืนรายการหนึ่งที่รอดำเนินการจาก THORChain เข้าสู่ที่อยู่ของผู้โจมตีหลังบล็อกเชนกลับมาทำงานไม่นาน ซึ่งช้ากว่าการโอนแบบครั้งเดียวในแพตช์ Cosmos Labs ระบุว่าผู้ตรวจสอบทราบว่าเงินคืนอาจเข้ามา แต่การปรับแพตช์ที่ทดสอบแล้วให้ครอบคลุมสินทรัพย์ก้อนนี้ต้องเขียนโค้ดเพิ่มเติมและยืดเวลาหยุดระบบออกไป ต่อมา ATOM จำนวนดังกล่าวถูกโอนไปยัง Osmosis และขายออก เนื่องจากแพตช์ทำงานเพียงครั้งเดียวตอนรีสตาร์ต จึงไม่สามารถเรียกคืนสินทรัพย์ที่เข้ามาภายหลังโดยอัตโนมัติ
ขณะนี้ Neutron ยังต้องตรวจสอบความเสียหาย ผู้มีสิทธิ์เรียกร้อง และแนวทางจัดสรรเงิน ก่อนที่ข้อเสนอธรรมาภิบาลของ Hub จะให้อำนาจสาธารณะแก่ผู้ลงนาม multisig ตามที่ร้องขอ จนกว่าขั้นตอนเหล่านี้จะเสร็จสิ้น ATOM ราว 1.227 ล้านเหรียญที่โอนไปยังกระเป๋า multisig ยังคงอยู่ภายใต้การดูแล และยังไม่มีการระบุผู้รับเงินขั้นสุดท้าย