Cosmos-Hub-Validatoren haben 1.227.121 ATOM im Wert von rund 2,1 Millionen US-Dollar aus der Wallet des Neutron-Exploiters abgezogen und die Maßnahme beim Neustart des Netzwerks am Mittwoch durchgeführt (Cosmos Hub auf X).

Die Chain hielt bei Block 33.086.740 an und setzte bei Block 33.086.741 wieder fort. Bei der Wiederaufnahme führten die Validatoren die Übertragung direkt auf State-Ebene durch, ohne eine Signatur des Wallet-Eigentümers zu benötigen. Die Methode ist der weitere Kontext: Ein koordiniertes Validator-Upgrade kann Guthaben ohne jede Signatur des Inhabers bewegen, sodass die Verwahrung von Assets auf der Chain sowohl auf dem Konsens der Validatoren als auch auf der Schlüsselkontrolle beruht.

Token wurden auf eine Adresse bewegt, für die nie ein Schlüssel signiert hat

Die ATOM liegen nun auf cosmos1z8pq5c, einer Adresse, für die nie ein Schlüssel signiert hat. Weder die Validatoren noch das Cosmos-Hub-Team haben jemanden als Kontrolleur benannt.

Die Validatoren froren den Hub am Dienstag um 11:18 UTC ein und tauten ihn am Mittwoch um 12:00 UTC wieder auf. Einen Tag zuvor hatte das Hub-Team eine bevorstehende Netzwerkänderung angekündigt, die auf die ATOM abzielte, die der Exploiter auf der Chain geparkt hatte. Nach Angaben des Teams wurde die eigene Chain nie kompromittiert; betroffen waren Neutron-Assets.

Eine Rückerstattung von 168.990 Token rutschte nach dem Neustart zu Osmosis durch

Um 12:07 UTC sendete ein THORChain-Vault 168.990 ATOM aus einem nie vollständig ausgeführten Auftrag an die Wallet. Eine anschließende Sendung von 500.000 ATOM an Osmosis um 12:09 UTC schlug fehl, da die Wallet nur etwa ein Drittel dieses Betrags hielt. Diese Abfolge markiert den Rand des Eingriffs: Der State-Level-Abzug erfasste, was die Wallet bei der Upgrade-Höhe hielt, während nach der Wiederaufnahme eingehende Mittel unter der Kontrolle des Eigentümers blieben.

On-Chain-Aufzeichnungen zeigen, dass der Eigentümer die erstatteten 168.990 ATOM um 17:54 UTC auf die Osmosis-Adresse desselben Schlüssels bridgte.

Ein Stimmenkauf von 20.199 US-Dollar verschaffte die Admin-Kontrolle über 10 Astroport- und Drop-Contracts

Der Exploit geht auf den Neutron-Vorschlag 9 zurück, der am 19. September auf dem beschleunigten Weg eingereicht wurde. Der Vorschlag verbrachte drei Tage in der Abstimmung und benötigte 67 % Zustimmung; er gab an, Forschung dazu zu sein, wie KI-Agenten ein Testnetz betreiben könnten.

Sein Payload enthielt 11 MsgUpdateAdmin-Nachrichten, die jeweils den eigenen Schlüssel des Einreichers als Admin benannten. On-Chain-Daten zeigen, dass der Vorschlag mit 81,88 % Ja-Stimmen angenommen wurde, als die Auszählung am 22. September um 02:24 UTC erfolgte.

Der On-Chain-Analyst Rarma stellte fest, dass die meisten Ja-Stimmen in letzter Minute gekauft wurden. Ein Konto stimmte mit Ja, während es nur etwa 100 NTRN hielt, gab dann 20.199 USDC aus, um 31,6 Millionen weitere Token zu kaufen, und stake sie weniger als 12 Minuten vor Abstimmungsende. Der Kauf – der größtenteils aus Astroport-Pools erfolgte, die der Angreifer kurz darauf abzog – kostete etwa 0,00064 US-Dollar pro Token.

Rarma schätzte die gesamte gebundene Stake von Neutron auf rund 113.000 US-Dollar, die Contracts mit etwa 9,4 Millionen US-Dollar absicherte – die Lücke zwischen dem Wert, der die Abstimmung sicherte, und dem Wert, den die Abstimmung erreichen konnte, ist die Rechnung im Kern des Exploits. Acht der angezielten Contracts gehörten zu Astroport und zwei zu Drop. Ab 02:38 UTC tauschte der Angreifer in 10 der 11 Contracts eigenen Code ein – nur die Astroport Treasury blieb unangetastet – und entleerte die übrigen innerhalb von 24 Minuten.

Stand Dienstag laut Rarma nur etwa 1,96 Millionen US-Dollar der Beute auf aktiven Chains; der Rest war unbeweglich. Neutron erzeugte seinen letzten Block am Dienstag um 07:43 UTC; die Chain bleibt angehalten.

Die Maßnahme folgt auf weitere aktuelle Eingriffe im Cosmos-Ökosystem. Laut Cryptopolitan rollten Cronos-Valid ihre Chain nach einem geschätzten $75-Millionen-Exploit bei Tectonic im August zurück. Ebenfalls in jenem Monat zwang ein Fehler in einer EVM-Komponente, die von mehreren Cosmos-Chains genutzt wird, TAC dazu, sein Netzwerk einzufrieren. Zusammen zeigen die Vorfälle, dass Chains bei Exploits oder Fehlern, die Assets gefährden, auf koordinierte Halts, Rollbacks oder State-Level-Übertragungen setzen. Die Maßnahme des Cosmos Hub unterscheidet sich in einem Punkt vom Rollback von Cronos: Der Neustart setzte auf der Höhe des Halts fort, wobei Block 33.086.741 direkt auf 33.086.740 folgte, sodass die frühere Historie der Chain intakt blieb. Die verbleibenden Fragen sind on-chain beobachtbar: ob und wie Neutron neu startet und ob die unbeweglichen Mittel oder die wiedererlangten ATOM sich als Nächstes bewegen.