I validatori del Cosmos Hub hanno prelevato 1.227.121 ATOM — del valore di circa 2,1 milioni di dollari — dal wallet dell'exploiter di Neutron, eseguendo l'operazione durante il riavvio della rete di mercoledì (Cosmos Hub su X).

La chain si è fermata al blocco 33.086.740 ed è ripresa al blocco 33.086.741. Alla ripresa, i validatori hanno effettuato il trasferimento direttamente a livello di stato, senza richiedere la firma del proprietario del wallet. Il metodo è il contesto più ampio: un upgrade coordinato dei validatori può spostare saldi senza alcuna firma del detentore, quindi la custodia degli asset sulla chain poggia sia sul consenso dei validatori sia sul controllo delle chiavi.

I token spostati su un indirizzo per il quale nessuna chiave ha mai firmato

Gli ATOM si trovano ora su cosmos1z8pq5c, un indirizzo per il quale nessuna chiave ha mai firmato. Né i validatori né il team del Cosmos Hub hanno indicato qualcuno come detentore del controllo.

I validatori hanno congelato l'hub martedì alle 11:18 UTC e lo hanno scongelato mercoledì alle 12:00 UTC. Un giorno prima, il team dell'Hub aveva segnalato una modifica di rete imminente mirata agli ATOM che l'exploiter aveva parcheggiato sulla sua chain. Secondo il team, la propria chain non è mai stata compromessa e solo gli asset di Neutron sono stati interessati.

Un rimborso di 168.990 token è slittato su Osmosis dopo il riavvio

Alle 12:07 UTC di mercoledì, una vault di THORChain ha inviato 168.990 ATOM al wallet da un ordine mai eseguito completamente. Un successivo invio di 500.000 ATOM a Osmosis alle 12:09 UTC è rimbalzato, poiché il wallet deteneva circa un terzo di tale importo. La sequenza segna il limite dell'intervento: il prelievo a livello di stato ha catturato ciò che il wallet deteneva all'altezza dell'upgrade, mentre i fondi arrivati dopo la ripresa sono rimasti sotto il controllo del proprietario.

I registri on-chain indicano che il proprietario ha quindi bridgiato i 168.990 ATOM rimborsati all'indirizzo Osmosis della stessa chiave alle 17:54 UTC.

Un voto da 20.199 dollari ha comprato il controllo amministrativo di 10 contratti Astroport e Drop

'exploit risale alla proposta 9 di Neutron, presentata il 19 settembre sulla via accelerata. La proposta è rimasta tre giorni in votazione e ha richiesto il 67% di approvazione per passare, e dichiarava di essere una ricerca su come consentire ad agenti AI di gestire una rete di test.

Il suo payload conteneva 11 messaggi MsgUpdateAdmin, ognuno dei quali indicava la chiave stessa del proponente come admin. I dati on-chain mostrano che la proposta è passata con l'81,88% di voti favorevoli quando lo scrutinio è stato effettuato alle 02:24 UTC del 22 settembre.

L'analista on-chain Rarma ha scoperto che la maggior parte di quei voti favorevoli è stata comprata all'ultimo momento. Un account ha votato a favore detenedo solo circa 100 NTRN, per poi spendere 20.199 USDC per acquistare altri 31,6 milioni di token e metterli in stake meno di 12 minuti prima della chiusura della votazione. L'acquisto — effettuato per lo più dai pool di Astroport che l'attaccante ha drenato poco dopo — è costato circa 0,00064 dollari per token.

Rarma ha stimato l'intero stake vincolato di Neutron in circa 113.000 dollari, a protezione di contratti che ne detenevano circa 9,4 milioni — il divario tra il valore che garantiva il voto e il valore che il voto poteva raggiungere è l'aritmetica alla base dell'exploit. Otto dei contratti bersaglio appartenevano ad Astroport e due a Drop. A partire dalle 02:38 UTC, l'attaccante ha sostituito codice personalizzato in 10 degli 11 contratti, lasciando intatto solo l'Astroport Treasury, e ha drenato i restanti in 24 minuti.

Al momento di martedì, le cifre di Rarma collocavano solo circa 1,96 milioni di dollari del bottino su chain attive, con il resto immobilizzato. Neutron ha prodotto il suo ultimo blocco alle 07:43 UTC di martedì, e la chain resta ferma.

L'operazione segue altri recenti interventi nell'ecosistema Cosmos. Secondo Cryptopolitan, i validatori di Cronos hanno effettuato un rollback della loro chain dopo un presunto exploit da 75 milioni di dollari su Tectonic ad agosto. Lo stesso mese, un bug in un componente EVM utilizzato da più chain Cosmos ha costretto TAC a congelare la sua rete. Presi insieme, gli incidenti mostrano chain che optano per halt coordinati, rollback o trasferimenti a livello di stato quando exploit o bug mettono a rischio gli asset. L'azione del Cosmos Hub si differenzia dal rollback di Cronos sotto un aspetto: il riavvio è ripreso all'altezza di halt, con il blocco 33.086.741 che segue direttamente il 33.086.740, lasciando intatta la storia precedente della chain. Le domande rimanenti sono osservabili on-chain: se e come Neutron riavvierà, e se i fondi immobilizzati o gli ATOM recuperati si sposteranno successivamente.