Cosmos retém 1,23 milhão de ATOM roubados; devolução depende de votação de governança

Um invasor transferiu cerca de 1,73 milhão de ATOM roubados da Neutron para o Cosmos Hub durante um ataque de governança em 22 de setembro. Validadores do Hub conseguiram reter 1.227.121,37 ATOM desse fluxo por meio de um patch emergencial de software. Os seis signatários que hoje mantêm os ativos sob custódia afirmam que só liberarão os recursos para usuários e protocolos afetados após a aprovação de uma proposta separada de governança no Hub. Segundo um relato publicado pela Cosmos Labs em 25 de setembro, a medida emergencial tomada pelos validadores para impedir novas saídas foi deliberadamente separada da decisão sobre quem deve receber o dinheiro. Em consulta de saldo no Hub às 15:40 UTC de 26 de setembro, o endereço de recuperação registrava 1.227.121,374688 ATOM. Os tokens permaneciam sob custódia, enquanto a Cosmos Labs informou que a equipe de resposta da Neutron ainda preparava as evidências e o plano de distribuição que sustentariam a devolução. Como os validadores garantiram os ATOM De acordo com os mantenedores do Hub, o ataque começou na Neutron em 22 de setembro, quando uma proposta de governança concedeu ao atacante controle administrativo sobre contratos usados pela Astroport e outros protocolos. Parte dos ativos roubados foi enviada a outras redes, incluindo cerca de 1,73 milhão de ATOM encaminhados ao Cosmos Hub. O Hub não foi explorado; tornou-se o ponto onde parte do saldo roubado ainda podia ser interceptada. Durante as trocas e pontes envolvendo ATOM, validadores do Hub interromperam a cadeia na altura 33.086.740. Em seguida, concordaram em reiniciar com uma versão corrigida do software Gaia, a v28.3.0. No primeiro bloco após a paralisação, o patch aplicou uma mudança única de estado que transferiu 1.227.121,37 ATOM de um endereço do Hub ligado ao atacante para uma multisig de recuperação, antes da retomada das transações normais. A atualização de 24 de setembro do Hub afirma que o binário foi limitado a essa única conta de origem e não alterou saldos de outros usuários nem delegações. O procedimento foi uma atualização coordenada entre validadores, não uma votação on-chain autorizando compensação. A Cosmos Labs disse que os validadores receberam por escrito os endereços de origem e destino, a lista dos seis signatários e o escopo proposto antes da empresa compilar e distribuir o binário. Validadores que somavam mais de 67% do poder de voto do Hub haviam confirmado a instalação antes do reinício em 23 de setembro. A produção de blocos voltou às 12:00 UTC, e a transferência ocorreu por volta de 12:06 UTC. Os mantenedores afirmaram que o binário foi testado contra um fork do estado da mainnet e distribuído com checksum. O diff do código-fonte não foi publicado naquele momento porque a divulgação exporia correções de segurança da versão subjacente v28.2.0, ainda sob embargo de divulgação coordenada. A Cosmos Labs disse esperar publicar o diff após o fim do embargo. Esse era o cronograma de divulgação de 25 de setembro, não a confirmação de um lançamento posterior. Custódia dos ATOM roubados não define quem será ressarcido Nansen, Keplr, Enigma, Silknodes, Kiln e Polkachu são os seis validadores nomeados como signatários da multisig. Tecnicamente, qualquer quatro assinaturas atendem ao requisito da carteira para executar uma transação. Os signatários declararam, porém, uma condição adicional para usar essa capacidade: uma proposta de sinalização no Cosmos Hub precisa ser aprovada para autorizar uma transferência legítima. A Cosmos Labs informou que não possui chave da carteira. Isso cria duas camadas de controle. Uma supermaioria de validadores concordou em alterar o estado do Hub durante a paralisação para impedir que o atacante movimentasse o saldo já presente. Agora, os signatários de custódia detêm os ATOM roubados, mas dizem que aguardarão um mandato público de governança para definir o destino. O patch emergencial não identificou todos os reclamantes válidos nem aprovou um cronograma de distribuição. A rota proposta começa pela Neutron. A Cosmos Labs afirmou que a Neutron havia sido relançada com mitigações até 25 de setembro, enquanto contribuidores e protocolos afetados, incluindo Astroport e Drop, preparavam evidências do que foi levado e para onde os ativos recuperados deveriam ir. A equipe de resposta deveria apresentar ou reapresentar uma proposta no Hub na semana seguinte. A decisão sobre realizar votação de governança também na Neutron cabe à própria rede, segundo a conta do Hub. A lista de propostas de governança do Hub consultada às 15:40 UTC de 26 de setembro não mostrava nenhum mandato aprovado para a multisig de recuperação entre as entradas visíveis pós-incidente. A proposta mais recente, 1057, tratava da recuperação de um light client IBC da Realio. A proposta 1056, intitulada \u0022ATOM Refund & Justice Bounty\u0022, ainda estava em votação e buscava um reembolso e uma recompensa diferentes; não autorizava a distribuição desta multisig pelo plano da equipe de resposta da Neutron. Assim, a exigência de governança permanecia futura no momento da verificação. A transferência no Hub cobriu o ATOM parado em um único endereço ligado ao atacante no instante da paralisação. Ela não reverteu o ataque mais amplo na Neutron. A Cosmos Labs disse que cerca de 500.000 ATOM já haviam sido trocados via THORChain antes da interrupção, e que outros ativos roubados alcançaram redes além do Hub. O relato não estabelece o valor final das reivindicações de cada conta afetada nem promete reembolso integral. Por que o patch não capturou valores que chegaram depois Outros 168.990,9 ATOM mostram o limite temporal do patch. Um reembolso pendente da THORChain chegou ao endereço do atacante logo após o reinício, depois que a transferência única já havia sido executada. A Cosmos Labs afirmou que os validadores sabiam que o reembolso poderia chegar, mas alterar o binário testado para capturá-lo exigiria outro código e uma paralisação mais longa. Esse ATOM, recebido posteriormente no endereço do atacante, foi movido para a Osmosis e vendido. Como a regra foi aplicada apenas uma vez na retomada, ela não podia varrer automaticamente um depósito que chegasse depois. O plano de recuperação do lado da Neutron ainda precisa definir quem tem direito a quê e para onde os fundos devem ir. Uma proposta no Hub sustentada por esse plano daria aos seis signatários o mandato público que dizem exigir. Até que essas etapas ocorram, os ATOM retidos seguem disponíveis para recuperação, com os destinatários ainda indefinidos.