Cosmos Hub возобновил работу после почти суточной остановки и вернул ATOM на $2,2 млн; 169 тыс. ATOM удалось вывести

Cosmos Hub перезапустился после остановки, продолжавшейся почти сутки, и в рамках обновления перевел 1 227 121,37 ATOM с адреса, связанного с атакующим, на адрес восстановления. На момент операции сумма оценивалась примерно в $2,2 млн. Валидаторы возобновили выпуск блоков 23 сентября; перезапуск начался с блока 33 086 741. Перед возвращением сети к обычной активности баланс с подозрительного адреса был "сметен" в recovery-адрес. Команда Cosmos Hub заявила, что сам Hub не был эксплуатирован, а остановка использовалась для защиты активов, переброшенных через мост из Neutron. Эти активы перевели под контроль community validator multisig. Бывший контрибьютор Neutron Spaydh сообщил, что злоумышленник накопил достаточно голосующей мощности NTRN, чтобы провести ускоренное governance-предложение. Через него были перераспределены административные права над 11 смарт-контрактами, включая инфраструктурные контракты, используемые Astroport и Drop. Контракты мигрировали на вредоносный код, позволяющий выводить средства. Spaydh оценил первоначальный ущерб примерно в $4,4 млн: около $3 млн в ATOM, $1,2 млн в USDC, порядка $100 тыс. в DYDX, а также меньшие суммы в wstETH и WETH. Ранее встречалась оценка потерь на уровне около $9,3 млн. По его словам, rate limits в Neutron и последующая остановка сети не позволили части активов покинуть сеть: было защищено более $1,6 млн в USDC, а также значимые объемы NTRN и ASTRO. Около 70% похищенных ATOM оставались на Cosmos Hub в момент, когда валидаторы остановили выпуск блоков. В результате в зоне досягаемости операции по возврату оказалось примерно $2,15 млн в ATOM. При этом позднее возврат средств через THORChain дошел до атакующего уже после исполнения транзакции по восстановлению. Криптоаналитик Rarma отметил, что через семь блоков после перезапуска на адрес, связанный с атакующим, поступило 168 990,9 ATOM. Токены оставались там почти шесть часов, после чего их перевели в Osmosis и продали партиями примерно на 266 841 USDC. Значительную часть выручки впоследствии конвертировали в Ethereum. Rarma также указал, что более ранняя попытка перевести 500 000 ATOM завершилась неудачей из-за недостатка средств в кошельке. По его оценке, транзакция показывает, что связанный с атакующим адрес после перезапуска по-прежнему мог отправлять IBC-переводы. Cosmos Hub публично не объяснил, почему последующий перевод прошел, и планировались ли дополнительные ограничения для средств, поступивших на этот адрес после первоначального "сметания". В Cosmos Hub подчеркнули, что возвращенные ATOM остаются под контролем сообщества. Валидаторы Hub, участники Neutron и затронутые протоколы координируют процесс возврата средств. Spaydh добавил, что контрибьюторы подготовили новый бинарник, который вернет затронутые контракты к прежнему коду и администраторам, усилит governance-контроли и переместит оставшиеся активы под контролем атакующего в multisig валидаторов. Механика возврата активов еще финализируется. Ожидается, что после возобновления выпуска блоков в Neutron восстановленные средства вернутся в исходные контракты и пользователям. По словам Spaydh, Neutron нацеливался на перезапуск примерно в течение 24 часов, после чего должен стартовать возврат активов. Проект намерен опубликовать полный постмортем после возвращения сети в онлайн. Cosmos Hub также пообещал отдельно раскрыть дополнительные детали по защищенным ATOM в обновлении на форуме.