Los validadores de Cosmos Hub retiraron 1.227.121 ATOM —con un valor aproximado de 2,1 millones de dólares— de la billetera del explotador de Neutron, ejecutando la maniobra durante el reinicio de la red el miércoles (Cosmos Hub en X).

La cadena se detuvo en el bloque 33.086.740 y se reanudó en el bloque 33.086.741. Al reanudarse, los validadores llevaron a cabo la transferencia directamente a nivel de estado, sin requerir una firma del dueño de la billetera. El método es el contexto más amplio: una actualización coordinada de los validadores puede mover saldos sin ninguna firma del titular, por lo que la custodia de los activos en la cadena depende tanto del consenso de los validadores como del control de las claves.

Los tokens se trasladaron a una dirección para la que ninguna clave ha firmado jamás

Los ATOM ahora están en cosmos1z8pq5c, una dirección para la que ninguna clave ha firmado jamás. Ni los validadores ni el equipo de Cosmos Hub han señalado a nadie como controlador de la misma.

Los validadores congelaron el hub el martes a las 11:18 UTC y lo descongelaron el miércoles a las 12:00 UTC. Un día antes, el equipo del Hub había advertido de un próximo cambio en la red dirigido a los ATOM que el explotador había dejado estacionados en su cadena. Según el equipo, su propia cadena nunca fue comprometida y solo se vieron afectados los activos de Neutron.

Un reembolso de 168.990 tokens se escapó hacia Osmosis tras el reinicio

A las 12:07 UTC del miércoles un vault de THORChain envió 168.990 ATOM a la billetera desde una orden que nunca se ejecutó por completo. Un envío posterior de 500.000 ATOM a Osmosis a las 12:09 UTC rebotó, ya que la billetera tenía aproximadamente un tercio de ese monto. La secuencia marca el límite de la intervención: la retirada a nivel de estado capturó lo que la billetera tenía en la altura de la actualización, mientras que los fondos que llegaron después de la reanudación permanecieron bajo control del dueño.

Los registros en cadena indican que el dueño luego transferió los 168.990 ATOM reembolsados a la dirección de Osmosis de la misma clave a las 17:54 UTC.

Un voto de 20.199 dólares compró control administrativo de 10 contratos de Astroport y Drop

El exploit se remonta a la propuesta 9 de Neutron, presentada el 19 de septiembre en la vía acelerada. La propuesta pasó tres días en votación y requería un 67% de aprobación para ser aprobada, y decía ser una investigación sobre permitir que agentes de IA ejecutaran una red de pruebas.

Su payload contenía 11 mensajes MsgUpdateAdmin, cada uno designando la propia clave del proponente como administrador. Los datos en cadena muestran que la propuesta fue aprobada con un 81,88% de votos a favor cuando se realizó el conteo a las 02:24 UTC del 22 de septiembre.

La analista en cadena Rarma descubrió que la mayoría de esos votos a favor se compraron en el último minuto. Una cuenta votó a favor teniendo solo unos 100 NTRN, y luego gastó 20.199 USDC para comprar 31,6 millones de tokens adicionales y los apostó menos de 12 minutos antes de que terminara la votación. La compra —realizada en su mayoría desde pools de Astroport que el atacante drenó poco después— costó unos 0,00064 dólares por token.

Rarma estimó el stake comprometido total de Neutron en alrededor de 113.000 dólares, que protegía contratos que contenían unos 9,4 millones de dólares —la brecha entre el valor que aseguraba el voto y el valor que el voto podía alcanzar es la aritmética central del exploit. Ocho de los contratos objetivo pertenecían a Astroport y dos a Drop. A partir de las 02:38 UTC, el atacante reemplazó el código personalizado en 10 de los 11 contratos, dejando intacta solo la Tesorería de Astroport, y drenó el resto en 24 minutos.

Al martes, las cifras dearma situaban solo unos 1,96 millones de dólares del botín en cadenas activas, con el resto inmovilizado. Neutron produjo su último bloque a las 07:43 UTC del martes, y la cadena sigue detenida.

La medida sigue a otras intervenciones recientes en el ecosistema Cosmos. Según Cryptopolitan, los validadores de Cronos revertieron su cadena tras un exploit estimado en 75 millones de dólares en Tectonic en agosto. Ese mismo mes, un error en un componente EVM utilizado por varias cadenas de Cosmos obligó a TAC a congelar su red. En conjunto, los incidentes muestran que las cadenas optan por detenciones coordinadas, reversiones o transferencias a nivel de estado cuando exploits o errores ponen en riesgo los activos. La acción de Cosmos Hub difiere de la reversión de Cronos en un aspecto: el reinicio se reanudó en la altura detenida, con el bloque 33.086.741 siguiendo directamente al 33.086.740, dejando intacta la historia anterior de la cadena. Las preguntas restantes son observables en cadena: si y cómo se reinicia Neutron, y si los fondos inmovilizados o los ATOM recuperados se moverán a continuación.