Walidatorzy Cosmos Hub wypłacili 1 227 121 ATOM — o wartości około 2,1 miliona dolarów — z portfela exploitera Neutronu, wykonując tę operację podczas środowego restartu sieci (Cosmos Hub na X).

Łańcuch zatrzymał się na bloku 33 086 740 i wznowił działanie na bloku 33 086 741. Po wznowieniu walidatorzy przeprowadzili transfer bezpośrednio na poziomie stanu, bez konieczności podpisu właściciela portfela. Sama metoda to szerszy kontekst: skoordynowana aktualizacja walidatorów może przenosić salda bez żadnego podpisu posiadacza, więc piecza nad aktywami w łańcuchu opiera się zarówno na konsensusie walidatorów, jak i na kontroli kluczy.

Tokeny przeniesione na adres, dla którego żaden klucz nigdy nie podpisał transakcji

ATOM znajduje się teraz pod adresem cosmos1z8pq5c, dla którego żaden klucz nigdy nie podpisał transakcji. Ani walidatorzy, ani zespół Cosmos Hub nie wskazali nikogo jako osoby nim zarządzającej.

Walidatorzy zamrozili hub we wtorek o 11:18 UTC, a odmrozili go w środę o 12:00 UTC. Dzień wcześniej zespół Hub poinformował o nadchodzącej zmianie w sieci, której celem był ATOM, jaki exploiter zostawił w łańcuchu. Zdaniem zespołu jego własny łańcuch nie został nigdy skompromitowany, dotknięte były wyłącznie aktywa Neutronu.

Zwrot 168 990 tokenów wymknął się do Osmosis po restarcie

O 12:07 UTC w środę vault THORChain wysłał do portfela 168 990 ATOM z zamówienia, które nigdy nie zostało w pełni zrealizowane. Kolejny przelew 500 000 ATOM do Osmosis o 12:09 UTC się nie powiódł, ponieważ portfel posiadał około jednej trzeciej tej kwoty. Ta sekwencja wyznacza granicę interwencji: wypłata na poziomie stanu objęła środki, które portfel posiadał na wysokości aktualizacji, podczas gdy fundusze dotarłe po wznowieniu pozostały pod kontrolą właściciela.

Zapisy on-chain wskazują, że właściciel następnie przepiął zwrócone 168 990 ATOM na adres Osmosis tego samego klucza o 17:54 UTC.

Głosowanie za 20 199 dolarów kupiło kontrolę administracyjną nad 10 kontraktami Astroport i Drop

Eksploit sięga propozycji 9 w Neutronie, złożonej 19 września w trybie przyspieszonym. Propozycja spędziła trzy dni w głosowaniu i wymagała 67% poparcia do uchwalenia; deklarowała, że dotyczy badań nad umożliwieniem agentom AI uruchamiania sieci testowej.

Jej payload zawierał 11 komunikatów MsgUpdateAdmin, z których każdy wskazywał klucz propozycji jako administratora. Dane on-chain pokazują, że propozycja przeszła z 81,88% głosów za, gdy liczono wyniki o 02:24 UTC 22 września.

Analityk on-chain Rarma ustalił, że większość głosów za została kupiona w ostatniej chwili. Jedno konto zagłosowało za, posiadając tylko około 100 NTRN, a następnie wydało 20 199 USDC na zakup dodatkowych 31,6 miliona tokenów i postawiło je mniej niż 12 minut przed zakończeniem głosowania. Zakup — dokonany głównie z puli Astroport, które atakujący wkrótce potem opróżnił — kosztował około 0,00064 dolara za token.

Według szacunków Rarmy cała stawka bonded Neutronu wynosiła około 113 000 dolarów, zabezpieczając kontrakty przechowujące około 9,4 miliona dolarów — różnica między wartością zabezpieczającą głos a wartością, jaką głos mógł objąć, to arytmetyka stanowiąca rdzeń eksploitu. Osiem z atakowanych kontraktów należało do Astroport, a dwa do Drop. Od 02:38 UTC atakujący podmienił własny kod w 10 z 11 kontraktów, pozostawiając nietkniętą tylko kasę Astroport Treasury, i opróżnił pozostałe w ciągu 24 minut.

Według stanu na wtorek dane Rarmy wskazywały, że tylko około 1,96iona dolarów z łupu znajduje się na działających łańcuchach, a reszta jest unieruchomiona. Neutron wygenerował ostatni blok o 07:43 UTC we wtorek i łańcuch pozostaje zatrzymany.

Ta operacja następuje po innych niedawnych interwencjach w ekosystemie Cosmos. Według Cryptopolitan walidatorzy Cronos wycofali swój łańcuch po szacowanym eksploicie wartym 75 milionów dolarów w Tectonic w sierpniu. Tego samego miesiąca błąd w komponencie EVM używanym przez wiele łańcuchów Cosmos zmusił TAC do zamrożenia swojej sieci. Łącznie te incydenty pokazują, że łańcuchy sięgają po skoordynowane zatrzymania, wycofania lub transfery na poziomie stanu, gdy eksploity lub błędy zagrażają aktywom. Działanie Cosmos Hub różni się od wycofania Cronos w jednym względzie: restart wznowił działanie na wysokości zatrzymania, przy czym blok 33 086 741 nastąpił bezpośrednio po 33 086 740, pozostawiając wcześniejszą historię łańcucha nienaruszoną. Pozostałe pytania można obserwować on-chain: czy i jak Neutron wznowi działanie oraz czy unieruchomione fundusze lub odzyskany ATOM zostaną przeniesione.