Cosmos สกัด ATOM ที่ถูกขโมยกว่า 1.23 ล้านโทเคน การคืนเงินรอผลโหวตกำกับดูแล

ผู้โจมตีย้าย ATOM ที่ถูกขโมยราว 1.73 ล้านโทเคนจาก Neutron เข้าสู่ Cosmos Hub ระหว่างเหตุโจมตีด้านกำกับดูแลเมื่อวันที่ 22 ก.ย. โดยฝั่งผู้ตรวจสอบความถูกต้อง (validators) ของ Hub ใช้แพตช์ซอฟต์แวร์ฉุกเฉินสกัดและยึดไว้ได้ 1,227,121.37 ATOM แต่ผู้ลงนาม 6 รายที่ถือกุญแจของกระเป๋า multisig ระบุว่าจะยังไม่ปล่อยเงินคืนให้ผู้ใช้และโปรโตคอลที่ได้รับผลกระทบจนกว่าจะมีข้อเสนอการกำกับดูแล (governance proposal) ของ Hub แยกต่างหากผ่านความเห็นชอบ Cosmos Labs ระบุในบันทึกวันที่ 25 ก.ย. ว่าเงื่อนไขดังกล่าวทำให้ “การดำเนินการฉุกเฉิน” ที่ validators ใช้เพื่อกันไม่ให้เงินไหลออกเพิ่มเติม แยกจาก “การตัดสินใจ” ว่าใครควรเป็นผู้ได้รับเงินคืน โดยข้อมูลการตรวจสอบยอดคงเหลือบน Hub ณ เวลา 15:40 UTC วันที่ 26 ก.ย. ชี้ว่าที่อยู่สำหรับกู้คืนถือครองอยู่ 1,227,121.374688 ATOM ขณะที่ทีมตอบสนองฝั่ง Neutron ยังเตรียมหลักฐานและแผนการกระจายเงินเพื่อรองรับการคืนทรัพย์สิน วิธีที่ validators สกัด ATOM ไว้ได้ ผู้ดูแล Hub ระบุว่าเหตุเริ่มจาก Neutron วันที่ 22 ก.ย. เมื่อข้อเสนอด้านกำกับดูแลทำให้ผู้โจมตีได้สิทธิ์ผู้ดูแลระบบเหนือสัญญา (contracts) ที่ใช้โดย Astroport และโปรโตคอลอื่น ๆ จากนั้นผู้โจมตีย้ายสินทรัพย์ที่ขโมยไปยังหลายเครือข่าย รวมถึงส่ง ATOM ราว 1.73 ล้านโทเคนมาที่ Cosmos Hub โดยตัว Hub เองไม่ได้ถูกเจาะ แต่กลายเป็นจุดที่ยังสามารถสกัดบางส่วนของยอดที่ถูกขโมยได้ ระหว่างที่ผู้โจมตีทำการสวอปและบริดจ์ ATOM เหล่า validators ของ Hub ตัดสินใจหยุดเชนที่ความสูงบล็อก (height) 33,086,740 แล้วรีสตาร์ตด้วย Gaia เวอร์ชันที่แพตช์แล้ว v28.3.0 โดยที่บล็อกแรกหลังการหยุด แพตช์ได้ทำการเปลี่ยนสถานะ (state change) แบบครั้งเดียว โอน 1,227,121.37 ATOM จากที่อยู่บน Hub ที่เชื่อมโยงกับผู้โจมตี ไปยัง recovery multisig ก่อนกลับมาเปิดธุรกรรมตามปกติ อัปเดตวันที่ 24 ก.ย. ของ Hub ระบุว่าไบนารี (binary) ถูกจำกัดขอบเขตให้กระทบเฉพาะบัญชีต้นทางดังกล่าว และไม่กระทบยอดคงเหลือผู้ใช้อื่นหรือการมอบหมาย (delegations) กระบวนการนี้เป็นการอัปเดตร่วมกันของ validators ไม่ใช่การโหวตบนเชนเพื่ออนุมัติการชดเชย Cosmos Labs ระบุว่า ก่อนสร้างและแจกจ่ายไบนารีนั้น validators ได้รับเอกสารเป็นลายลักษณ์อักษรที่ระบุที่อยู่ต้นทางและปลายทาง รายชื่อผู้ลงนาม 6 ราย และขอบเขตที่เสนอไว้แล้ว โดย validators ที่มีอำนาจโหวตมากกว่า 67% ของ Hub ยืนยันการติดตั้งก่อนการรีสตาร์ตเมื่อวันที่ 23 ก.ย. เครือข่ายกลับมาสร้างบล็อกอีกครั้งเวลา 12:00 UTC และการโอนมีผลราว 12:06 UTC ผู้ดูแลระบุว่าไบนารีถูกทดสอบกับฟอร์กของสถานะเมนเน็ตและแจกจ่ายพร้อม checksum ส่วน diff ของซอร์สโค้ดยังไม่เผยแพร่ในช่วงนั้น เพราะการเปิดเผยจะทำให้เห็นการแก้ไขด้านความปลอดภัยใน v28.2.0 ที่ยังอยู่ภายใต้กรอบการเปิดเผยร่วม (coordinated disclosure) โดย Cosmos Labs คาดว่าจะเผยแพร่ diff หลังหมดช่วง embargo ทั้งนี้เป็นไทม์ไลน์การเปิดเผยที่ระบุเมื่อ 25 ก.ย. ไม่ใช่การยืนยันว่ามีการเผยแพร่ในภายหลังแล้ว ถือครองได้ แต่ยังไม่สรุปว่าใครจะได้รับเงิน ผู้ลงนาม multisig ที่ถูกระบุมี 6 ราย ได้แก่ Nansen, Keplr, Enigma, Silknodes, Kiln และ Polkachu โดยในเชิงเทคนิคใช้ลายเซ็น 4 จาก 6 ก็เพียงพอสำหรับทำธุรกรรม แต่ผู้ลงนามประกาศเงื่อนไขเพิ่มเติมว่า ต้องมีข้อเสนอ “ส่งสัญญาณ” (signaling proposal) ของ Cosmos Hub ผ่านแล้วจึงจะดำเนินการโอนอย่างถูกต้อง Cosmos Labs ย้ำว่าไม่ได้ถือกุญแจกระเป๋าดังกล่าว จึงเกิดการควบคุมสองชั้น: ฝั่ง validators ส่วนใหญ่เห็นพ้องให้ปรับสถานะของ Hub ระหว่างช่วงหยุดเชนเพื่อกันไม่ให้ผู้โจมตีย้ายยอดที่อยู่บน Hub แล้ว ขณะที่ผู้ลงนามเป็นผู้ถือครอง ATOM ที่สกัดไว้ แต่จะรอมติจากการกำกับดูแลก่อนตัดสินใจปลายทาง แพตช์ฉุกเฉินไม่ได้ระบุผู้มีสิทธิ์เรียกร้องทั้งหมดและไม่ได้อนุมัติตารางการกระจายเงิน เส้นทางที่เสนอเริ่มจากฝั่ง Neutron โดย Cosmos Labs ระบุว่า Neutron กลับมาเปิดใช้งานพร้อมมาตรการลดความเสี่ยงภายในวันที่ 25 ก.ย. ขณะที่ผู้ร่วมพัฒนาและโปรโตคอลที่ได้รับผลกระทบรวมถึง Astroport และ Drop กำลังจัดเตรียมหลักฐานว่าอะไรถูกขโมยไปและสินทรัพย์ที่กู้คืนควรส่งไปที่ใด ทีมตอบสนองคาดว่าจะนำหรือผลักดันข้อเสนอของ Hub ในสัปดาห์ถัดไป ส่วน Neutron จะต้องโหวตกำกับดูแลด้วยหรือไม่ขึ้นกับการตัดสินใจของเครือข่ายนั้น ตรวจรายชื่อข้อเสนอของ Hub ณ 15:40 UTC วันที่ 26 ก.ย. ยังไม่พบมติที่ผ่านเพื่อให้อำนาจการโอนจาก recovery multisig ในรายการหลังเหตุการณ์ที่มองเห็นได้ ข้อเสนอล่าสุดหมายเลข 1057 ว่าด้วยการกู้คืน Realio IBC light client ส่วนข้อเสนอ 1056 ชื่อ "ATOM Refund & Justice Bounty" ยังอยู่ระหว่างโหวตและเป็นแนวทางการคืนเงิน/เงินรางวัลอีกแบบ ไม่ได้ให้อำนาจตามแผนกระจายเงินของทีมตอบสนอง Neutron จาก multisig นี้ ทำให้เงื่อนไขด้าน governance ยังเป็นเรื่องที่ต้องรอในอนาคต ณ เวลาตรวจสอบ การโอนบน Hub ครอบคลุมเฉพาะ ATOM ที่ค้างอยู่ในที่อยู่เดียวที่เชื่อมโยงกับผู้โจมตี ณ ช่วงหยุดเชน ไม่ได้ย้อนกลับความเสียหายทั้งหมดจากการโจมตี Neutron โดย Cosmos Labs ระบุว่า ATOM ราว 500,000 โทเคนถูกสวอปผ่าน THORChain ไปแล้วก่อนการหยุดเชน และยังมีสินทรัพย์ที่ถูกขโมยบางส่วนไปถึงเครือข่ายอื่นนอกเหนือจาก Hub รายงานดังกล่าวไม่ได้สรุปยอดเรียกร้องสุดท้ายของแต่ละบัญชี และไม่ได้รับประกันการชดเชยเต็มจำนวน เหตุใดแพตช์จึงจับเงินที่เข้ามาทีหลังไม่ได้ อีก 168,990.9 ATOM สะท้อนข้อจำกัดด้านเวลา โดยเงินคืน (refund) ที่ค้างอยู่บน THORChain ถูกส่งกลับเข้าที่อยู่ของผู้โจมตีทันทีหลังรีสตาร์ต หลังจากที่การโอนแบบครั้งเดียวได้ดำเนินการไปแล้ว Cosmos Labs ระบุว่า validators ทราบความเป็นไปได้ที่ refund จะเข้ามา แต่การปรับไบนารีที่ทดสอบแล้วเพื่อจับยอดดังกล่าวจะต้องใช้โค้ดต่างออกไปและทำให้ต้องหยุดเชนนานขึ้น ATOM ที่กลับเข้ามานี้ถูกย้ายไป Osmosis และขายออก เป็นเงินที่เข้ามาภายหลัง แยกจากยอดที่ถูกโอนไปยัง multisig แล้ว และกติกาที่ใช้เพียงครั้งเดียวตอนรีสตาร์ตไม่สามารถกวาดยอดฝากที่เกิดขึ้นภายหลังโดยอัตโนมัติได้ ท้ายที่สุด แผนกู้คืนฝั่ง Neutron ยังต้องระบุให้ชัดว่าใครมีสิทธิ์ได้รับเท่าไร และควรส่งเงินไปที่ใด จากนั้นข้อเสนอของ Hub ที่อิงแผนดังกล่าวจึงจะเป็น “ฉันทามติสาธารณะ” ที่ผู้ลงนามทั้ง 6 รายระบุว่าจำเป็นต้องมี ก่อนจะปล่อยเงินออกจาก multisig ระหว่างที่ขั้นตอนเหล่านี้ยังไม่เสร็จสิ้น ATOM ที่สกัดไว้ยังคงถูกเก็บรักษาเพื่อการกู้คืน แต่ผู้รับปลายทางยังไม่ถูกตัดสิน เนื้อหานี้เผยแพร่ครั้งแรกโดย CryptoSlate ภายใต้หัวข้อว่า Cosmos สกัด ATOM ที่ถูกขโมย 1.23 ล้านโทเคน แต่การคืนเงินรอผลโหวตกำกับดูแล