Валидаторы Cosmos Hub вывели 1 227 121 ATOM — на сумму около 2,1 млн долларов — из кошелька эксплуататора Neutron, выполнив операцию во время перезапуска сети в среду (Cosmos Hub on X).

Цепочка остановилась на блоке 33 086 740 и возобновила работу с блока 33 086 741. После возобновления валидаторы провели перевод напрямую на уровне состояния, не требуя подписи владельца кошелька. Сам метод важен для понимания более широкой картины: скоординированное обновление валидаторами позволяет перемещать балансы без какой-либо подписи держателя, а значит, хранение активов в цепочке опирается как на консенсус валидаторов, так и на контроль ключей.

Токены перемещены на адрес, который никогда не подписывался никаким ключом

ATOM теперь находятся по адресу cosmos1z8pq5c, который никогда не подписывался никаким ключом. Ни валидаторы, ни команда Cosmos Hub не назвали никого контролирующим этот адрес.

Валидаторы заморозили хаб во вторник в 11:18 UTC и разморозили его в среду в 12:00 UTC. За день до этого команда Hub сообщила о готовящемся изменении сети, направленном на ATOM, которые эксплуататор разместил на её цепочке. По словам команды, её собственная цепочка не была скомпрометирована — пострадали только активы Neutron.

Возврат в 168 990 токенов после перезапуска ушёл на Osmosis

В 12:07 UTC в среду хранилище THORChain отправило в кошелёк 168 990 ATOM в рамках ордера, который так и не был полностью исполнен. Последующая отправка 500 000 ATOM на Osmosis в 12:09 UTC не прошла, так как в кошельке находилась лишь около трети этой суммы. Эта последовательность обозначает границу вмешательства: изъятие на уровне состояния захватило средства, которые кошелёк держал на высоте обновления, тогда как средства, поступившие после возобновления, остались под контролем владельца.

Записи в блокчейне указывают, что владелец затем перевёл возвращённые 168 990 ATOM по мосту на адрес того же ключа на Osmosis в 17:54 UTC.

Голосование за 20 199 долларов дало административный контроль над 10 контрактами Astroport и Drop

История атаки восходит к предложению Neutron 9, поданному 19 сентября по ускоренной процедуре. Предложение находилось на голосовании три дня и требовало 67% одобрения для принятия; оно позиционировалось как исследование возможности запуска тестовой сети ИИ-агентами.

Его payload содержал 11 сообщений MsgUpdateAdmin, в каждом из которых ключ提案ента указывался администратором. Данные в блокчейне показывают, что предложение было принято с 81,88% голосов «за» при подсчёте в 02:24 UTC 22 сентября.

Аналитик блокчейна Rarma установил, что большинство голосов «за» было скуплено в последний момент. Один аккаунт проголосовал «за», держа лишь около 100 NTRN, затем потратил 20 199 USDC на покупку ещё 31,6 млн токенов и застейкал их менее чем за 12 минут до окончания голосования. Покупка — совершённая преимущественно через пулы Astroport, которые атакующий вскоре осушил — обошлась примерно в 0,00064 доллара за токен.

По оценке Rarma, весь заложенный стейк Neutron составлял около 113 000 долларов, охраняя контракты с суммой около 9,4 млн долларов — разрыв между стоимостью, обеспечивавшей голосование, и стоимостью, до которой голосование моглоотянуться, и есть арифметика в основе этой атаки. Восемь из целевых контрактов принадлежали Astroport и два — Drop. Начиная с 02:38 UTC, атакующий заменил код на собственный в 10 из 11 контрактов, не тронув только казначейство Astroport, и осушил остальные за 24 минуты.

По состоянию на вторник, по данным Rarma, лишь около 1,96 млн долларов из добытого находилось на активных цепочках, остальное было обездвижено. Neutron создал последний блок в 07:43 UTC во вторник, и цепочка остаётся остановленной.

Эта операция последовала за другими недавними вмешательствами в экосистеме Cosmos. По данным Cryptopolitan, валидаторы Cronos откатили свою цепочку после предполагаемой атаки на $75 млн в Tectonic в августе. Также в том месяце ошибка в EVM-компоненте, используемом несколькими цепочками Cosmos, вынудила TAC заморозить свою сеть. Вместе эти инциденты показывают, что цепочки выбирают скоординированные остановки, откаты или переводы на уровне состояния, когда атаки или ошибки ставят активы под угрозу. Действие Cosmos Hub отличается от отката Cronos в одном аспекте: перезапуск возобновился с остановленной высоты, где блок 33 086 741 последовал сразу за блоком 33 086 740, сохранив прежнюю историю цепочки. Оставшиеся вопросы наблюдаемы в блокчейне: возобновит ли Neutron работу и как, а также сдвинутся ли дальше обездвиженные средства или возвращённые ATOM.