Cosmos intercepte 1,23 million d'ATOM volés grâce à un correctif d'urgence

Les validateurs de Cosmos Hub ont sécurisé 1 227 121,37 ATOM dérobés en déployant un correctif logiciel d'urgence. Lors d'une attaque de gouvernance survenue le 22 septembre, l'attaquant avait transféré environ 1,73 million d'ATOM volés depuis Neutron vers le Hub. Le Hub n'a pas été compromis : il s'est simplement retrouvé à l'endroit où une partie des fonds a pu être interceptée. Les validateurs ont arrêté la chaîne au bloc (height) 33 086 740, avant de la relancer avec Gaia v28.3.0. Le correctif a effectué une modification unique de l'état, déplaçant les ATOM d'une adresse liée à l'attaquant vers un portefeuille multisig de récupération. Le transfert a pris effet vers 12:06 UTC le 23 septembre. Avant la relance, des validateurs représentant plus de 67% du pouvoir de vote du Hub avaient confirmé l'installation. La production de blocs a repris à 12:00 UTC. Au 26 septembre à 15:40 UTC, l'adresse de récupération détenait 1 227 121,374688 ATOM. Le correctif ne visait qu'un seul compte source et n'a modifié ni les soldes des autres utilisateurs ni leurs délégations. Les six signataires du multisig sont Nansen, Keplr, Enigma, Silknodes, Kiln et Polkachu. Toute transaction requiert techniquement quatre signatures. Les signataires précisent qu'une proposition de gouvernance du Hub, adoptée, devra autoriser un transfert légitime avant toute libération des fonds. Cosmos Labs indique ne détenir aucune clé de ce portefeuille. Cosmos Labs souligne que le correctif d'urgence n'a pas permis d'identifier l'ensemble des ayants droit et n'a validé aucun calendrier de distribution. Selon l'équipe de réponse Neutron, des éléments de preuve et un plan de répartition étaient en préparation. Des contributeurs et des protocoles touchés, dont Astroport et Drop, rassemblaient aussi des preuves sur les montants subtilisés et la destination attendue des actifs récupérés. L'équipe devait proposer ou soutenir une proposition sur le Hub la semaine suivante. Au 26 septembre à 15:40 UTC, la liste des propositions du Hub ne montrait toujours aucun mandat adopté encadrant le multisig de récupération. La proposition 1056, intitulée \u0022ATOM Refund & Justice Bounty\u0022, était encore en vote et n'autorisait pas la distribution depuis ce multisig par l'équipe de réponse Neutron. Cosmos Labs indique qu'environ 500 000 ATOM avaient déjà été échangés via THORChain avant l'arrêt de la chaîne et que d'autres actifs volés ont atteint des réseaux au-delà du Hub. La récupération en cours ne fixe pas le montant final de la créance de chaque compte affecté et ne garantit pas un remboursement intégral. Après la relance, un remboursement THORChain en attente a envoyé 168 990,9 ATOM supplémentaires à l'adresse de l'attaquant. Les validateurs savaient que ce retour pouvait se produire, mais le capturer aurait nécessité un code différent et un arrêt plus long. Les ATOM ainsi restitués ont ensuite été déplacés vers Osmosis et vendus. Le plan de récupération de Neutron doit encore déterminer précisément qui est créancier, pour quels montants, et vers quelles adresses les fonds doivent être dirigés.