De incidentupdate van Cosmos Hub maakt duidelijk dat het eigen netwerk niet is uitgebuit. De gestolen activa arriveerden via het Inter-Blockchain Communication (IBC)-protocol vanuit Neutron; Hub-validators pauzeerden vervolgens hun chain en brachten deze weer online met een nauw afgebakende wijziging die slechts één account raakte.

Cosmos Hub is de hub-chain van het Cosmos-ecosysteem, en ATOM is de oorspronkelijke asset die bij validators wordt gestaked om het netwerk te beveiligen. Neutron is een smartcontractplatform binnen hetzelfde ecosysteem, en de twee chains zijn met elkaar verbonden via IBC, de interoperabiliteitsstandaard die anders onafhankelijke blockchains in staat stelt activa en berichten uit te wisselen. Juist die verbinding bracht de gestolen fondsen binnen het bereik van de validators van Cosmos Hub en creëerde de omstandigheden voor de noodreactie.

Drie bevoegdheden die vaak worden verward in een blockchain-noodsituatie

Een blockchain kan de blokproductie stilleggen wanneer genoeg validators stoppen met het ondertekenen van transacties, waardoor de netwerkactiviteit wordt opgeschort. De episode rond Cosmos Hub combineerde drie mogelijkheden die waarnemers vaak door elkaar halen: het stoppen van de blokproductie, het wijzigen van de state bij een herstart en het bewaren van de teruggevorderde activa. Elk ervan kent eigen waarborgen en eigen risico's.

1. Het stilleggen van de blokproductie

Validators produceren en bevestigen nieuwe blokken. Op Cosmos Hub legt de CometBFT-consensusengine blokken vast met instemming van ten minste twee derde van de validator-stemkracht, een gewicht dat wordt bepaald door hoeveel ATOM bij elke validator is gestaked. Wanneer genoeg operators stoppen met ondertekenen, kunnen gewone overdrachten en andere state-wijzigingen niet op de chain worden afgehandeld. Het gevolg is een liveness-probleem in plaats van een inbreuk: het netwerk bestaat nog, maar kan tijdelijk niet vooruit.

2. Het wijzigen van de state bij de herstart

Een stillegging verplaatst op zichzelf geen fondsen. Validators van Cosmos Hub herstartten op Gaia v28.3.0, de node-software van de Hub, en pasten een eenmalige state change toe op blokhoogte 33.086.741 voordat verdere transacties werden verwerkt. De wijziging verplaatste het resterende saldo van één aan een aanvaller gelinkt adres naar een 4-van-6 herstel-multisig.

Volgens Cosmos Hub raakte de gepatchte binaire code geen andere saldi, delegaties of gebruikersfondsen. De interventie gebruikte de privésleutel van de aanvaller niet en draaide de onderliggende Neutron-exploit niet terug. Validators stemden in met het draaien van bijgewerkte code, en het herstarte netwerk aanvaardde de gewijzigde Hub-state. De Cosmos SDK ondersteunt state-migraties tijdens upgrades; de mogelijkheid wordt pas betekenisvol wanneer validator-operators zich eromheen coördineren.

3. Het bewaren van de teruggevorderde activa

De state change stuurde de ATOM niet naar één bedrijfsportemonnee. Het hersteladres wordt beheerd door Nansen, Keplr, Enigma, Silknodes, Kiln en Polkachu, met vier handtekeningen nodig om de fondsen te verplaatsen. Cosmos Hub zegt dat de Neutron-contributors en de getroffen protocollen een herstelplan uitwerken.

Dit zijn aparte bevoegdheden. Een set validators kan de blokproductie stoppen zonder een account aan te tasten, en kan een gerichte state change goedkeuren zonder te bepalen hoe de teruggevorderde activa uiteindelijk worden verdeeld. Alle drie de acties reduceren tot een simpel "wallet freeze" verhult zowel de waarborgen als de risico's.

De stillegging stopte Cosmos Hub, niet elk afwikkelingspad

Het meest leerzame deel van het is tegelijk wat het herstel minder netjes maakt. De overname van 1.227.121 ATOM dekte alleen het saldo dat op blokhoogte van de stillegging aanwezig was op het aan de aanvaller gelinkte adres. Activa dat daarna op het adres arriveerde, viel buiten de reikwijdte.

Unchained en CryptoSlate meldden dat 168.991 ATOM uit een niet-uitgevoerde THORChain-swap kort na de herstart naar het adres terugkeerde, en pas aankwam nadat de eenmalige state change al was uitgevoerd.

IBC had de gestolen ATOM van Neutron naar Cosmos Hub gebracht, terwijl THORChain, een cross-chain swapprotocol, een afzonderlijk afwikkelingspad vormde. De episode toont waarom herstelteams openstaande swaps, bridge-overboekingen, wrapped tokens en beursstortingen in kaart moeten brengen, naast het saldo dat zichtbaar is op de chain die zij beheren. Het stilleggen van één netwerk maakt elders lopende activiteit niet ongedaan.

Vier controles voordat je een herstel vertrouwt

• Wie kan het netwerk stoppen? De concentratie van stemkracht is belangrijker dan het aantal validators.
• Wat is er precies gewijzigd? Het netwerk zou het getroffen account, de codeversie, de herstelhoogte en de reikwijdte van de patch moeten openbaren.
• Wie beheert de teruggevorderde activa? De ondertekenaars, de handtekeningendrempel en het verdelingsproces moeten publiek traceerbaar zijn.
• Wat valt buiten de interventie? Cross-chain transacties, openstaande swaps en off-chain bestemmingen moeten worden onderzocht voordat een herstel als voltooid wordt bestempeld.

Een chain zonder werkbare respons kan slachtoffers zonder herstelroute achterlaten. Eén met brede, niet-openbaar gemaakte noodbevoegdheden geeft gebruikers minder zekerheid dat afgeronde transacties echt definitief zijn. De bruikbare norm is beperkter: noodbevoegdheid hoort een publieke trigger, een gedefinieerde reikwijdte en een controleerbaar verslag te hebben.

Wat Cosmos heeft laten zien, en wat nog openstaat

Cosmos openbaarde voldoende informatie om de reikwijdte van de interventie te beoordelen: het getroffen account, de codeversie, de herstelhoogte, het hersteladres en de ondertekenaars. De resterende toets is of het herstelplan dezelfde helderheid biedt aan slachtoffers wier activa niet in die multisig staan.
Noodmaatregelen kunnen gebruikers beschermen na een exploit, maar de bevoegdheid, de code en de grenzen daarvan horen zichtbaar te zijn voordat een crisis het netwerk dwingt ze te gebruiken. Dat is de blijvende les van het ATOM-herstel: finaliteit weegt zwaarder wanneer de uitzonderingen ervan vooraf worden begrepen.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Incidentrapportages en herstelplannen kunnen wijzigen naarmate verdere technische en governance-updates worden gepubliceerd.

Bron: Coindoo