Les validateurs du Cosmos Hub ont retiré 1 227 121 ATOM — d'une valeur d'environ 2,1 millions de dollars — du portefeuille de l'exploiteur de Neutron, effectuant l'opération lors du redémarrage du réseau mercredi (Cosmos Hub on X).

La chaîne s'est arrêtée au bloc 33 086 740 et a repris au bloc 33 086 741. À la reprise, les validateurs ont effectué le transfert directement au niveau de l'état, sans exiger de signature du propriétaire du portefeuille. La méthode constitue le contexte plus large : une mise à niveau coordonnée des validateurs peut déplacer des soldes sans aucune signature du détenteur, de sorte que la garde des actifs sur la chaîne repose sur le consensus des validateurs autant que sur le contrôle des clés.

Les jetons déplacés vers une adresse qu'aucune clé n'a jamais signée

Les ATOM se trouvent désormais à cosmos1z8pq5c, une adresse qu'aucune clé n'a jamais signée. Ni les validateurs ni l'équipe du Cosmos Hub n'ont désigné quiconque comme en ayant le contrôle.

Les validateurs ont gelé le hub mardi à 11 h 18 UTC et l'ont dégelé mercredi à 12 h 00 UTC. La veille, l'équipe du Hub avait signalé un changement de réseau à venir ciblant les ATOM que l'exploiteur avait déposés sur sa chaîne. Selon l'équipe, sa propre chaîne n'a jamais été compromise, et seuls les actifs Neutron ont été affectésn

Un remboursement de 168 990 jetons a glissé vers Osmosis après le redémarrage

À 12 h 07 UTC mercredi, un coffre THORChain a envoyé 168 990 ATOM au portefeuille depuis un ordre qui ne s'était jamais entièrement exécuté. Un envoi ultérieur de 500 000 ATOM vers Osmosis à 12 h 09 UTC a rebondi, le portefeuille ne détenant qu'environ un tiers de ce montant. Cette séquence marque la limite de l'intervention : le retrait au niveau de l'état a capturé ce que le portefeuille détenait à la hauteur de la mise à niveau, tandis que les fonds arrivés après la reprise sont restés sous le contrôle du propriétaire.

Les enregistrements en chaîne indiquent que le propriétaire a ensuite transféré les 168 990 ATOM remboursés vers l'adresse Osmosis de la même clé à 17 h 54 UTC.

Un vote de 20 199 $ a acheté le contrôle administrateur de 10 contrats Astroport et Drop

L'exploitation remonte à la proposition 9 de Neutron, déposée le 19 septembre sur la voie accélérée. La proposition est restée trois jours en vote et nécessitait 67 % d'approbation pour passer, et prétendait être une recherche sur la possibilité de laisser des agents IA exécuter un réseau de test.

Sa charge utile contenait 11 messages MsgUpdateAdmin, chacun désignant la propre clé du proposant comme administrateur. Les données en chaîne montrent que la proposition a été adoptée avec 81,88 % de votes pour lorsque le dépouillement a été effectué à 02 h 24 UTC le 22 septembre.

L'analyste en chaîne Rarma a constaté que la plupart de ces votes pour avaient été achetés à la dernière minute. Un compte a voté pour en ne détenant qu'environ 100 NTRN, puis a dépensé 20 199 USDC pour acheter 31,6 millions de jetons supplémentaires et les a mis en jeu moins de 12 minutes avant la fin du vote. L'achat — effectué principalement auprès de pools Astroport que l'attaquant a vidés peu après — a coûté environ 0,00064 $ par jeton.

Rarma a estimé la totalité de la part engagée de Neutron à environ 113 000 $, protégeant des contrats détenant environ 9,4 millions de dollars — l'écart entre la valeur sécurisant le vote et la valeur que le vote pouvait atteindre est l'arithmétique au cœur de l'exploitation. Huit des contrats ciblés appartenaient à Astroport et deux à Drop. À partir de 02 h 38 UTC, l'attaquant a injecté du code personnalisé dans 10 des 11 contrats, ne laissant intact que la trésorerie Astroport, et a vidé le reste en 24 minutes.

Au mardi, les chiffres de Rarma ne plaçaient qu'environ 1,96 million de dollars du butin sur des chaînes actives, le reste étant immobilisé. Neutron a produit son dernier bloc à 07 h 43 UTC mardi, et la chaîne reste à l'arrêt.

Cette initiative fait suite à d'autres interventions récentes dans l'écosystème. Selon Cryptopolitan, les validateurs de Cronos ont annulé leur chaîne après une exploitation estimée à 75 millions de dollars chez Tectonic en août. Le même mois, un bug dans un composant EVM utilisé par plusieurs chaînes Cosmos a forcé TAC à geler son réseau. Pris ensemble, ces incidents montrent des chaînes optant pour des arrêts coordonnés, des annulations ou des transferts au niveau de l'état lorsque des exploitations ou des bugs mettent des actifs en danger. L'action du Cosmos Hub diffère de l'annulation de Cronos sur un point : le redémarrage a repris à la hauteur d'arrêt, le bloc 33 086 741 suivant directement le bloc 33 086 740, laissant l'historique antérieur de la chaîne intact. Les questions restantes sont observables en chaîne : si et comment Neutron redémarre, et si les fonds immobilisés ou les ATOM récupérés bougeront ensuite.