Cosmos перехопив 1,23 млн викрадених ATOM: повернення коштів залежить від голосування в управлінні мережі

Під час атаки на механізм управління Neutron 22 вересня зловмисник перевів приблизно 1,73 млн викрадених ATOM до Cosmos Hub. Валідатори Hub зупинили ланцюг і через аварійний патч перехопили 1 227 121,37 ATOM, перемістивши їх на мультипідписний гаманець для відновлення. Власники ключів заявили: розблокування та подальший переказ коштів постраждалим користувачам і протоколам можливі лише після ухвалення окремої пропозиції governance в Cosmos Hub. За даними Cosmos Labs, такий підхід розділяє екстрений технічний крок, спрямований на зупинку відтоку, і рішення про те, кому саме мають бути виплачені кошти. Станом на 26 вересня о 15:40 UTC баланс адреси відновлення в Hub становив 1 227 121,374688 ATOM. Токени перебувають під опікою, а команда реагування Neutron, як зазначає Cosmos Labs, готувала доказову базу та план розподілу, що має стати підґрунтям для повернення. Як саме вдалося зафіксувати ATOM Cosmos Hub, за словами мейнтейнерів, не був зламаний. Події почалися на Neutron 22 вересня: пропозиція управління надала атакувальнику адміністративний контроль над контрактами, які використовували Astroport та інші протоколи. Частину активів зловмисник вивів на інші мережі, зокрема близько 1,73 млн ATOM — у Cosmos Hub, де частину балансу ще можна було перехопити. Коли атакувальник здійснював свопи та бриджинг ATOM, валідатори Hub зупинили ланцюг на висоті 33 086 740. Далі вони погодили перезапуск із пропатченою версією Gaia v28.3.0. На першому блоці після зупинки патч одноразово змінив стан мережі: 1 227 121,37 ATOM було переведено з пов'язаної з атакувальником адреси в Hub на recovery multisig, після чого звичайні транзакції відновилися. В оновленні Hub від 24 вересня підкреслено, що бінарник був обмежений одним вихідним акаунтом і не змінював інші баланси користувачів або делегації. Це була скоординована дія валідаторів, а не ончейн-голосування, яке санкціонує компенсації. Cosmos Labs повідомляє, що перед збиранням і розповсюдженням бінарника валідатори отримали письмово джерельну та цільову адреси, перелік шести підписантів і запропонований обсяг змін. Перед рестартом 23 вересня встановлення підтвердили валідатори, які представляли понад 67% voting power Hub. Блоки відновилися о 12:00 UTC, а переказ спрацював приблизно о 12:06 UTC. За словами мейнтейнерів, бінарник тестували на форку стану мейннету і поширювали з checksum. Diff вихідного коду тоді не оприлюднили: публікація могла розкрити виправлення безпеки у базовому релізі v28.2.0, який залишався під ембарго в межах координованого розкриття вразливостей. Cosmos Labs зазначала, що очікує публікацію diff після зняття ембарго; це був графік розкриття станом на 25 вересня, а не підтвердження фактичної дати публікації. Опіка над викраденими ATOM не визначає, кому їх виплатять Шість валідаторів, вказаних як підписанти multisig: Nansen, Keplr, Enigma, Silknodes, Kiln і Polkachu. Технічно для транзакції достатньо чотирьох підписів. Водночас підписанти озвучили додаткову умову: має бути ухвалена окрема signaling-пропозиція Cosmos Hub, яка надасть легітимний мандат на переказ. Cosmos Labs заявляє, що не має ключа до цього гаманця. Таким чином існують два рівні контролю. Надбільшість валідаторів погодилася на зміну стану під час зупинки, щоб атакувальник не зміг перемістити вже наявний у Hub баланс. Після цього підписанти отримали опіку над перехопленими ATOM, але, за їхніми словами, чекатимуть публічного рішення governance, перш ніж визначати кінцевий напрям коштів. Аварійний патч не встановив перелік усіх правомірних отримувачів і не затвердив графік розподілу. Запропонована логіка повернення починається з боку Neutron. Cosmos Labs повідомила, що до 25 вересня Neutron перезапустили із заходами пом'якшення ризиків, а учасники та постраждалі протоколи, зокрема Astroport і Drop, готували докази щодо викрадених сум і того, куди мають бути спрямовані відновлені активи. Очікувалося, що команда реагування подасть або поверне на розгляд пропозицію Hub протягом наступного тижня. Чи проводитиме власне голосування governance і Neutron — рішення цієї мережі, зазначено в повідомленні Hub. Перевірка списку пропозицій Cosmos Hub станом на 26 вересня 15:40 UTC не показала ухваленого мандата, який би стосувався recovery multisig серед видимих постінцидентних записів. Остання пропозиція, 1057, стосувалася відновлення IBC light client Realio. Пропозиція 1056 під назвою "ATOM Refund & Justice Bounty" ще перебувала на голосуванні й пропонувала інший механізм відшкодування та винагороди; вона не уповноважувала розподіл із цього multisig за планом команди реагування Neutron. На момент перевірки вимога щодо governance залишалася майбутньою. Перехоплення в Hub стосувалося ATOM, що знаходилися на одній пов'язаній з атакувальником адресі на момент зупинки. Це не відкотило ширшу атаку на Neutron. Cosmos Labs повідомляє, що приблизно 500 000 ATOM уже встигли обміняти через THORChain до зупинки, а інші викрадені активи були виведені в мережі поза Hub. Опис подій не встановлює остаточні розміри вимог для кожного постраждалого акаунта і не гарантує повного відшкодування. Чому патч не зміг забрати пізніше надходження Ще 168 990,9 ATOM демонструють часову межу одноразового механізму. Залежний від THORChain refund надійшов на адресу атакувальника вже після перезапуску, коли одноразове переведення з балансу було виконане. Cosmos Labs зазначає: валідатори знали, що повернення може прийти, але зміна протестованого бінарника, щоб перехопити ці кошти, вимагала б іншого коду та довшої зупинки. Отримані ATOM згодом перевели в Osmosis і продали. Це був окремий пізній депозит, який не входив до балансу, вже переміщеного на multisig. План відновлення з боку Neutron має визначити, хто й скільки має отримати та куди саме спрямувати кошти. Після цього пропозиція в Cosmos Hub, підкріплена таким планом, надасть шістьом підписантам публічний мандат, який вони вважають необхідним. До завершення цих кроків перехоплені ATOM залишаються доступними для повернення, але кінцеві отримувачі ще не визначені.