周三网络重启之际，Cosmos Hub 验证人从 Neutron 攻击者的钱包中转出了 1,227,121 枚 ATOM，价值约 210 万美元（Cosmos Hub on X）。

区块链在区块 33,086,740 处停机，并在区块 33,086,741 恢复运行。恢复之后，验证人直接在状态层面完成了这笔转账，无需钱包所有者的签名。这一方式本身就是更大的背景：一次协调一致的验证人升级可以在持有人没有任何签名的情况下移动余额，因此链上资产的托管不仅取决于密钥控制，也取决于验证人共识。

代币被转移至一个从未有任何密钥为其签名的地址

这些 ATOM 目前存放于 cosmos1z8pq5c，一个从未有任何密钥为其签名的地址。无论是验证人还是 Cosmos Hub 团队，均未指明由谁控制该地址。

验证人于周二 11:18 UTC 冻结了 Hub，并于周三 12:00 UTC 解除冻结。此前一天，Hub 团队已预告即将进行一项网络变更，目标是攻击者存放在其链上的 ATOM。据该团队表示，其自身链从未遭到入侵，仅 Neutron 资产受到影响。

一笔 168,990 枚代币的退款在重启后流出至 Osmosis

周三 12:07 UTC，一个 THORChain 金库从未完全执行的订单中向该钱包发送了 168,990 枚 ATOM。随后在 12:09 UTC 有一笔 500,000 枚 ATOM 转至 Osmosis 的转账失败退回，因为该钱包当时仅持有约为该数量的三分之一。这一序列标出了此次干预的边界：状态层提取只捕获了钱包在升级高度时所持有的资金，而恢复运行后到账的资金仍由所有者控制。

链上记录显示，所有者随后在 17:54 UTC 将这笔退回的 168,990 枚 ATOM 跨链至同一密钥对应的 Osmosis 地址。

一笔 20,199 美元的投票购得了 10 个 Astroport 和 Drop 合约的管理权限

此次攻击源于 9 月 19 日在快速通道上提交的 Neutron 提案 9。该提案经过三天投票，需要 67% 的支持率才能通过，其声称目的是研究允许 AI 代理运行测试网络。

其载荷包含 11 条 MsgUpdateAdmin 消息，每条都将提案人自己的密钥指定为管理员。链上数据显示，在 9 月 22 日 02:24 UTC 完成计票时，该提案以 81.88% 的赞成票获得通过。

链上分析师 Rarma 发现，其中大部分赞成票是在最后时刻被购入的。一个账户在仅持有约 100 枚 NTRN 的情况下投出赞成票，随后花费20,199 USDC 购入 3,160 万枚额外代币，并在投票结束前不到 12 分钟完成质押。这次购入——主要来自攻击者随后很快抽干的 Astroport 池——每枚代币成本约为 0.00064 美元。

Rarma 估算，Neutron 全部质押保证金约为 113,000 美元，却守卫着持有约 940 万美元的合约——保障投票的价值与投票所能触及的价值之间的差额，正是此次攻击的核心算术。被针对的合约中有八个属于 Astroport，两个属于 Drop。从 02:38 UTC 开始，攻击者在 11 个合约中的 10 个里换入了自定义代码，仅留下 Astroport Treasury 未被触碰，并在 24 分钟内将它们抽干。

截至周二，据 Rarma 的数据，被盗资金中仅约 196 万美元在活跃链上，其余均处于冻结状态。Neutron 的最后一个区块产出时间为周二 07:43 UTC，该链目前仍处于停机状态。

此举延续了 Cosmos 生态近期的一系列干预。据 Cryptopolitan 报道，Cronos 验证人在 8 月 Tectonic 遭受约 7,500 万美元攻击后进行了链回滚。同月，多个 Cosmos 链使用的 EVM 组件中出现漏洞，迫使 TAC 冻结其网络。综合来看，这些事件表明，当攻击或漏洞使资产面临风险时，各链会选择协调停机、回滚或状态层转账。Cosmos Hub 的行动与 Cronos 的回滚有一点不同：重启是在停机高度直接恢复，区块 33,086,741 紧接 33,086,740，链上此前的历史记录保持完整。剩余问题可在链上观察：Neutron 是否以及如何重启，被冻结的资金或已追回的 ATOM 下一步是否会移动。