كوزموس تعترض 1.23 مليون ATOM مسروقاً… وإعادة الأموال بانتظار تصويت الحوكمة

تمكّن مدققو Cosmos Hub من اعتراض 1,227,121.37 عملة ATOM من أصل نحو 1.73 مليون ATOM نُقلت إلى الشبكة بعد هجوم حوكمة وقع على Neutron في 22 سبتمبر. ووفقاً لإفادة نشرها Cosmos Labs بتاريخ 25 سبتمبر، فإن العملات المصادَرة محفوظة الآن لدى محفظة استرداد متعددة التوقيع، لكن إطلاقها للمستخدمين والبروتوكولات المتضررة مشروط بتمرير مقترح حوكمة منفصل على Hub يحدد الجهة المخوّلة باستلام الأموال. وأظهر استعلام رصيد على Hub عند 15:40 UTC في 26 سبتمبر أن عنوان الاسترداد يحتفظ بـ 1,227,121.374688 ATOM. وأكدت Cosmos Labs أن فريق الاستجابة في Neutron كان لا يزال يُعد الأدلة وخطة التوزيع اللازمة لدعم إعادة الأموال. تفاصيل اعتراض الأموال بحسب القائمين على صيانة Hub، بدأ الهجوم على Neutron في 22 سبتمبر عندما منح مقترح حوكمة المهاجم صلاحيات إدارية على عقود تستخدمها Astroport وبروتوكولات أخرى. وبعد ذلك جرى تحويل جزء من الأصول المسروقة إلى شبكات متعددة، بينها نحو 1.73 مليون ATOM إلى Cosmos Hub. لم يتعرض Hub نفسه للاختراق، لكنه أصبح نقطة يمكن عندها اعتراض جزء من الرصيد المسروق قبل خروجه. ومع قيام المهاجم بعمليات مبادلة وجسر للأصول، أوقف المدققون السلسلة عند الارتفاع 33,086,740، ثم أعادوا تشغيلها على نسخة معدّلة من برنامج Gaia، الإصدار v28.3.0. عند أول ارتفاع بعد الإيقاف، نفّذت الرقعة تغييراً لمرة واحدة في الحالة (state) نقل بموجبه 1,227,121.37 ATOM من عنوان على Hub مرتبط بالمهاجم إلى محفظة استرداد متعددة التوقيع، قبل استئناف المعاملات الاعتيادية. وأوضح تحديث Hub بتاريخ 24 سبتمبر أن التعديل استهدف حساب المصدر هذا فقط، ولم يغيّر أرصدة المستخدمين الآخرين أو التفويضات. تشير Cosmos Labs إلى أن ما جرى كان تنسيقاً بين المدققين لتحديث البرمجية، وليس تصويتاً على السلسلة يجيز التعويض. كما قالت إن المدققين تسلموا كتابياً عناوين المصدر والوجهة، وقائمة الموقّعين الستة ونطاق التعديل المقترح قبل بناء الملف التنفيذي وتوزيعه. وجرى تأكيد تثبيت التحديث من مدققين يمثلون أكثر من 67% من قوة التصويت على Hub قبل إعادة التشغيل في 23 سبتمبر. واستؤنفت الكتل عند 12:00 UTC، ونُفّذ التحويل عند نحو 12:06 UTC. وأضاف القائمون على الصيانة أن الملف تم اختباره على تفرع من حالة الشبكة الرئيسية وتوزيعه مع قيمة تحقق (checksum). ولم يُنشر فرق الشيفرة (source diff) حينها لأن نشره كان سيكشف إصلاحات أمنية في الإصدار الأساسي v28.2.0 كانت لا تزال خاضعة لحظر إفصاح منسّق. وذكرت Cosmos Labs أنها كانت تتوقع نشر الفرق بعد رفع الحظر، وفق جدول الإفصاح بتاريخ 25 سبتمبر، دون أن يشكل ذلك تأكيداً لإصدار لاحق محدد. الاحتجاز لا يحسم الجهة المستحقة الموقّعون الستة على محفظة الاسترداد متعددة التوقيع هم: Nansen وKeplr وEnigma وSilknodes وKiln وPolkachu. وبحسب الإعدادات التقنية للمحفظة، تكفي أربعة توقيعات لتنفيذ معاملة. لكن هؤلاء الموقّعين أعلنوا شرطاً إضافياً لاستخدام هذه الصلاحية: تمرير مقترح إشارة (signaling) على Cosmos Hub يجيز التحويل ويمنحه شرعية عامة. وأكدت Cosmos Labs أنها لا تملك أي مفتاح للمحفظة. ينتج عن ذلك مستويان منفصلان من التحكم: أغلبية فائقة من المدققين وافقت خلال الإيقاف على تغيير حالة Hub لمنع المهاجم من تحريك الرصيد الموجود بالفعل. أما الموقّعون الحائزون حالياً على العملات المصادَرة فيقولون إنهم لن يقرروا وجهتها النهائية قبل تفويض حوكمي علني. الرقعة الطارئة لم تُحدّد جميع المطالبات الصحيحة ولم تعتمد جدول توزيع. وذكرت Cosmos Labs أن مسار الاسترداد يبدأ من جهة Neutron: فبحلول 25 سبتمبر كانت Neutron قد عادت للعمل مع إجراءات تخفيف، بينما كان مساهمون وبروتوكولات متضررة، بينها Astroport وDrop، يجهزون أدلة بما تم الاستيلاء عليه وأين ينبغي توجيه الأصول المستردة. وتوقعت أن يتقدم فريق الاستجابة بمقترح على Hub خلال الأسبوع التالي. أما ما إذا كانت حوكمة Neutron ستصوّت أيضاً فذلك قرار يعود لتلك الشبكة، بحسب حساب Hub. وعند مراجعة قائمة مقترحات حوكمة Hub عند 15:40 UTC في 26 سبتمبر لم يكن هناك تفويض مُجاز يخص محفظة الاسترداد ضمن البنود الظاهرة بعد الحادثة. وكان أحدث المقترحات، رقم 1057، يتعلق باستعادة عميل Realio IBC light client. أما المقترح 1056 بعنوان "ATOM Refund & Justice Bounty" فكان لا يزال في مرحلة التصويت ويطلب مساراً مختلفاً للاسترداد والمكافآت، ولم يمنح تفويضاً لتوزيع أصول Neutron من هذه المحفظة متعددة التوقيع. وبذلك ظل شرط الحوكمة قائماً ولم يتحقق حتى وقت المراجعة. حدود الاسترداد وما لم تتمكن الرقعة من التقاطه التحويل على Hub غطى رصيد ATOM الموجود في عنوان واحد مرتبط بالمهاجم لحظة الإيقاف، لكنه لم يعكس مجمل هجوم Neutron. وقالت Cosmos Labs إن نحو 500,000 ATOM كانت قد جرى مبادلتها عبر THORChain قبل الإيقاف، إضافة إلى انتقال أصول مسروقة أخرى إلى شبكات خارج Hub. كما لا يحدد التقرير الحجم النهائي لمطالبة كل حساب متضرر ولا يتعهد بتعويض كامل. وتبرز 168,990.9 ATOM حدود الرقعة الزمنية: إذ وصل ردّ (refund) معلّق من THORChain إلى عنوان المهاجم مباشرة بعد إعادة التشغيل، بعد أن كانت عملية النقل لمرة واحدة قد نُفذت بالفعل. وذكرت Cosmos Labs أن المدققين كانوا على علم بإمكانية وصول هذا الرد، إلا أن تعديل الملف المختبَر لالتقاطه كان سيتطلب شيفرة مختلفة وإيقافاً أطول. وتم لاحقاً نقل هذه العملات إلى Osmosis وبيعها. وبما أنها وديعة وصلت بعد تنفيذ قاعدة النقل لمرة واحدة، لم يكن بالإمكان سحبها تلقائياً. في المحصلة، ما يزال على خطة الاسترداد من جهة Neutron تحديد من يستحق ماذا وإلى أين يجب أن تذهب الأموال. وعند دعم ذلك بمقترح على Hub، سيحصل الموقّعون الستة على التفويض العلني الذي يقولون إنهم بحاجة إليه. وحتى اكتمال هذه الخطوات، تبقى عملات ATOM المؤمّنة جاهزة للاسترداد، مع بقاء هوية المستفيدين النهائيين غير محسومة.