週三網路重啟之際，Cosmos Hub 驗證人從 Neutron 攻擊者的錢包中轉出 1,227,121 枚 ATOM，約價值 210 萬美元（Cosmos Hub 於 X 上的公告）。

區塊鏈在區塊 33,086,740 停止出塊，並於區塊 33,086,741 恢復運作。恢復後，驗證人直接在狀態層級執行了該筆轉帳，無需錢包持有者的簽名。此一方式的意義在於：由驗證人協調執行的升級可以在持有人未簽名的情況下移動餘額，因此鏈上資產的託管不僅取決於金鑰控制，也取決於驗證人的共識。

代幣被轉至一個從未有金鑰為其簽名的地址

這批 ATOM 現存放在 cosmos1z8pq5c，一個從未有金鑰為其簽名的地址。無論是驗證人還是 Cosmos Hub 團隊，都未指明任何人控制該地址。

驗證人於週二 11:18 UTC 凍結樞紐，並於週三 12:00 UTC 解除凍結。前一天，Hub 團隊已預告即將進行的網變更，目標是攻擊者存放在鏈上的 ATOM。團隊表示，其自身的鏈從未被入侵，僅有 Neutron 資產受到影響。

一筆 168,990 枚代幣的退款在重啟後流入 Osmosis

週三 12:07 UTC，一個 THORChain 金庫從一筆從未完全執行的訂單中，向該錢包發送 168,990 枚 ATOM。隨後 12:09 UTC 一筆 500,000 枚 ATOM 發往 Osmosis 的轉帳則因錢包餘額僅約為其三分之一而失敗。這一連串事件標誌著此次干預的邊界：狀態層級的提款僅涵蓋升級高度時錢包所持有的資金，而重啟後到帳的資金仍由持有者控制。

鏈上紀錄顯示，持有者隨後於 17:54 UTC 將退款的 168,990 枚 ATOM 跨鏈至同一金鑰的 Osmosis 地址。

一筆 20,199 美元的投票買下 10 個 Astroport 與 Drop 合約的管理員權限

此次攻擊溯源至 Neutron 第 9 號提案，該提案於 9 月 19 日以快速通道提交，歷時三天投票，需 67% 贊成才能通過，並宣稱是關於允許 AI 代理運行測試網路的研究。

其載荷包含 11 條 MsgUpdateAdmin 訊息，每條都將提案者自己的金鑰指定為管理員。鏈上數據顯示，9 月 22 日 02:24 UTC 統計時，該提案以 81.88% 的贊成票通過。

鏈上分析師 Rarma 發現，大部分贊成票是在最後一刻被收購的。其中一個帳戶在僅持有約 100 枚 NTRN 的情況下投下贊成票，隨後花費 20,199 USDC 購入 3,160 萬枚代幣並質押，時間距投票結束不足 12 分鐘。這筆收購——主要來自攻擊者隨後抽取的 Astroport 池——每枚代幣成本約 0.00064 美元。

Rarma估計，Neutron 的全部質押量約為 113,000 美元，卻守護著持有約 940 萬美元的合約——保障投票的價值與投票所能觸及的價值之間的差距，正是此次攻擊的核心所在。被鎖定的合約中有八個屬於 Astroport，兩個屬於 Drop。從 02:38 UTC 開始，攻擊者在 11 個合約中的 10 個置入了自訂程式碼，僅留下 Astroport Treasury 未被更動，並在 24 分鐘內將其餘合約的資金抽乾。

截至週二，Rarma 的數據顯示僅約 196 萬美元的被竊資金在活躍鏈上，其餘則被凍結。Neutron 於週二 07:43 UTC 出產最後一個區塊，鏈至今仍處於停機狀態。

此舉延續了 Cosmos 生態系近期的一系列干預行動。據 Cryptopolitan 報導，Cronos 驗證人在 8 月 Tectonic 遭遇估計達 7,500 萬美元的攻擊後回滾了鏈的狀態。同月，多條 Cosmos 鏈所使用的 EVM 元件中的漏洞，迫使 TAC 凍結其網路。綜觀這些事件，可見各鏈在攻擊或漏洞威脅資產安全時，選擇採取協調停機、回滾或狀態層級轉帳等方式應對。Cosmos Hub 的行動與 Cronos 的回滾有一點不同：重啟是在停機高度直接恢復，區塊 33,086,741 緊接 33,086,740，鏈的早期歷史保持完整。其餘問題可在鏈上觀察：Neutron 是否以及如何重啟，以及被凍結的資金或已追回的 ATOM 下一步是否會移動。