Cosmos перехватил 1,23 млн украденных ATOM, возврат средств зависит от голосования в Hub

В ходе атаки на управление Neutron 22 сентября злоумышленник перевел на Cosmos Hub около 1,73 млн украденных ATOM. Валидаторы Hub с помощью экстренного обновления ПО смогли изъять из этого потока 1"027"0121,37 ATOM и перевести их на адрес восстановления под мультиподпись. Шесть валидаторов-подписантов заявили, что направят средства пострадавшим пользователям и протоколам только после принятия отдельного предложения в управлении Cosmos Hub. Как следует из отчета Cosmos Labs от 25 сентября, экстренные действия валидаторов были направлены на остановку дальнейшего вывода, но не определяли, кому именно должны быть перечислены средства. По данным запроса баланса в Hub на 15:40 UTC 26 сентября, на адресе восстановления находилось 1"027"0121,374688 ATOM. Токены остаются под хранением, а команда реагирования Neutron продолжала готовить доказательную базу и план распределения. Что произошло и как удалось перехватить ATOM По данным сопровождающих Hub, атака началась в Neutron 22 сентября: предложение по управлению предоставило злоумышленнику административный контроль над контрактами, используемыми Astroport и другими протоколами. Часть активов была выведена в другие сети, включая перевод около 1,73 млн ATOM на Cosmos Hub. Сам Hub не был взломан, но стал точкой, где часть украденного баланса еще можно было перехватить. На фоне попыток злоумышленника обменивать и мостить ATOM валидаторы Hub остановили сеть на высоте 33"086"0740. После этого они перезапустили сеть на пропатченной версии Gaia v28.3.0. На первом блоке после остановки патч выполнил одноразовое изменение состояния и перевел 1"027"0121,37 ATOM с адреса, связанного с атакующим, на мультисиг для восстановления; затем обычная обработка транзакций была возобновлена. В обновлении Hub от 24 сентября подчеркивалось, что бинарный файл был ограничен одной исходной учетной записью и не затронул другие балансы или делегирования. Cosmos Labs уточнила, что до сборки и распространения бинарника валидаторы получили письменные данные об исходном и целевом адресах, список из шести подписантов и предлагаемые ограничения по объему вмешательства. Перед перезапуском 23 сентября установку подтвердили валидаторы, представляющие более 67% голосующей силы Hub. Производство блоков возобновилось в 12:00 UTC, а перевод сработал примерно в 12:06 UTC. Сопровождающие Hub сообщали, что бинарник тестировали на форке состояния мейннета и распространяли с контрольной суммой. Diff исходников на тот момент не публиковали, чтобы не раскрыть исправления безопасности базового релиза v28.2.0, находившиеся под эмбарго координированного раскрытия. Cosmos Labs ожидала публикацию diff после снятия эмбарго; это был график раскрытия от 25 сентября, а не подтверждение более позднего релиза. Хранение средств не решает вопрос, кому их перечислять Подписантами мультисиг-кошелька названы Nansen, Keplr, Enigma, Silknodes, Kiln и Polkachu. Технически для транзакции достаточно четырех подписей. При этом подписанты заявили о дополнительном условии: перевод средств возможен только после принятия в Cosmos Hub отдельного сигнального предложения, которое публично легитимизирует перевод. Cosmos Labs подчеркнула, что не располагает ключом от этого кошелька. Сложилась двухуровневая схема контроля. Супербольшинство валидаторов согласовало изменение состояния Hub во время остановки, чтобы лишить атакующего возможности вывести уже находившийся там баланс. Теперь украденные ATOM находятся под контролем подписантов, но они намерены дождаться мандата управления, прежде чем определять конечный адрес назначения. Экстренный патч не устанавливал перечень легитимных получателей и не утверждал график распределения. Подготовка маршрута возврата начинается со стороны Neutron. По данным Cosmos Labs, к 25 сентября Neutron был перезапущен с мерами смягчения, а участники и затронутые протоколы, включая Astroport и Drop, готовили доказательства того, что было похищено, и куда следует направить восстановленные активы. Ожидалось, что команда реагирования внесет или вернет предложение в Cosmos Hub на следующей неделе. Нужен ли отдельный голосующий процесс в управлении Neutron, сеть решает самостоятельно. Проверка списка предложений Hub на 15:40 UTC 26 сентября не показывала принятого мандата по мультисиг-кошельку восстановления среди видимых постинцидентных записей. Последнее предложение, 1057, касалось восстановления IBC light client Realio. Предложение 1056 под названием "ATOM Refund & Justice Bounty" находилось на голосовании и предусматривало иной механизм возврата и баунти; оно не уполномочивало распределение средств из данного мультисига командой реагирования Neutron. Требование о мандате управления на момент проверки оставалось будущим. Перевод в Hub охватывал ATOM, находившиеся на одном адресе, связанном с атакующим, на момент остановки сети. Он не отменял последствия более широкой атаки в Neutron. Cosmos Labs сообщила, что около 500"000 ATOM были уже обменяны через THORChain до остановки, а другие украденные активы ушли в сети за пределами Hub. В отчете не фиксируется окончательный размер требований каждого пострадавшего и не обещается полное возмещение. Почему патч не смог захватить поступления после перезапуска Еще 168"990,9 ATOM показали ограничение по времени: возврат THORChain поступил на адрес атакующего сразу после перезапуска, уже после выполнения одноразового перевода. По данным Cosmos Labs, валидаторы знали, что такой возврат возможен, но корректировка протестированного бинарника для его перехвата потребовала бы другого кода и более длительной остановки. Эти ATOM затем были переведены в Osmosis и проданы. Поскольку средства поступили позже, правило, примененное единожды при перезапуске, не могло автоматически списать последующий депозит. Дальнейшие шаги зависят от плана Neutron: нужно зафиксировать, кто и в каком объеме имеет право на компенсацию, и определить адреса назначения. После этого предложение в Cosmos Hub, опирающееся на этот план, сможет дать шести подписантам публичный мандат, которого они требуют. До выполнения этих условий перехваченные ATOM остаются под хранением, а получатели не определены.