اعتبارسنج‌های Cosmos Hub پس از توقف شبکه به‌مدت حدود 24.5 ساعت و انتقال توکن‌ها به یک کیف پول بازیابی، 1.23 میلیون ATOM را که در حمله حاکمیتی Neutron به سرقت رفته بود، ایمن‌سازی کردند.

Cosmos Labs در به‌روزرسانی 25 سپتامبر اعلام کرد که خود Hub هدف حمله قرار نگرفته و دارایی کاربران Hub تحت تأثیر نبوده است. ATOMهای سرقت‌شده از Neutron آمده بودند؛ جایی که یک پیشنهاد حاکمیتی مخرب، کنترل قراردادهای مورد استفاده Astroport و سایر پروتکل‌ها را به مهاجم واگذار کرد.

در زمان توقف Hub، 1,227,121 واحد ATOM همچنان در آدرس مهاجم باقی مانده بود. اعتبارسنج‌ها در 23 سپتامبر با استفاده از Gaia v28.3.0 شبکه را دوباره راه‌اندازی کردند؛ یک به‌روزرسانی نرم‌افزاری که این موجودی را به کیف پولی تحت کنترل شش اعتبارسنج جامعه منتقل کرد. برای هر تراکنش از این کیف پول، تأیید چهار نفر از آن‌ها لازم است.

این توکن‌ها در حالی نگه‌داری می‌شوند که تیم بازیابی Neutron در حال آماده‌سازی یک طرح است. طبق سازوکاری که Cosmos Labs توضیح داده، امضاکنندگان تا زمانی که یک پیشنهاد حاکمیتی Cosmos Hub این انتقال را مجاز نکند، نمی‌توانند وجوه را بازگردانند.

توقف Cosmos Hub مانع خروج ATOMهای باقی‌مانده شد

بر اساس گزارش Cosmos Labs، پس از حمله به Neutron در 22 سپتامبر، مهاجم دارایی‌های سرقت‌شده را به چندین زنجیره ارسال کرد و شروع به سواپ بخشی از ATOMها از طریق THORChain کرد. حدود 1.73 میلیون ATOM به Hub رسید؛ جایی که مهاجم می‌توانست حتی پس از توقف تولید بلاک در Neutron نیز به جابه‌جایی آن‌ها ادامه دهد.

مشارکت‌کنندگان Neutron و اعضای جامعه حدود ساعت 09:50 UTC به اعتبارسنج‌های Hub و Cosmos Labs هشدار دادند. سپس اعتبارسنج‌هایی که بیش از یک‌سوم قدرت رأی‌دهی Hub را نمایندگی می‌کردند، نودهای خود را متوقف کردند و در حدود ساعت 11:18 UTC شبکه را در بلاک 33,086,740 متوقف ساختند.

در طول این وقفه، Cosmos Labs بنا به درخواست اعتبارسنج‌ها یک تغییر نرم‌افزاری یک‌باره آماده کرد. طرح مکتوب آن، آدرس مهاجم، کیف پول مقصد، شش امضاکننده پیشنهادی و تنها حسابی را که این به‌روزرسانی تحت تأثیر قرار می‌داد، مشخص کرده بود. اعتبارسنج‌ها این طرح را پیش از توزیع نرم‌افزار پچ‌شده دریافت کردند.

Nansen، Keplr، Enigma، Silknodes، Kiln و Polkachu پذیرفتند که شش کلید امضا را نگه‌داری کنند. Cosmos Labs گفت امضاکنندگان به‌صورت مستقل آدرس کیف پول را بررسی کرده و پیش از آن‌که توسعه‌دهندگان آن را به به‌روزرسانی اضافه کنند، با یک تراکنش آزمایشی آن را تأیید کردند.

تا زمان راه‌اندازی مجدد برنامه‌ریزی‌شده، اعتبارسنج‌هایی که بیش از دوسوم قدرت رأی‌دهی را نمایندگی می‌کردند، نسخه v28.3.0 را نصب کرده بودند. تولید بلاک در 23 سپتامبر ساعت 12:00 UTC از سر گرفته شد و انتقال 1,227,121.37 واحد ATOM حدود شش دقیقه بعد اجرایی شد. Cosmos Labs اعلام کرد تا پایان آن روز، 174 اعتبارسنج از 180 اعتبارسنج Hub آنلاین بودند.

طبق این به‌روزرسانی، اعتبارسنج‌های مشارکت‌کننده شامل Coinbase و Kraken نیز بودند. نقش آن‌ها بخشی از راه‌اندازی مجدد هماهنگ‌شده نرم‌افزار Hub بود؛ Cosmos Labs گفت پس از آن به صرافی‌ها و سایر اپراتورها اطلاع داده شد که وقتی شبکه پایدار شد، واریز و برداشت‌ها می‌تواند از سر گرفته شود.

بخشی از ATOM پیش و پس از راه‌اندازی مجدد خارج شد

موجودی ایمن‌سازی‌شده فقط نشان‌دهنده ATOMهایی است که هنگام توقف زنجیره توسط اعتبارسنج‌ها هنوز در آدرس مهاجم در Hub قرار داشت. Cosmos Labs گفت حدود 500,000 واحد ATOM پیش از توقف از طریق THORChain به ETH سواپ شده بود و از طریق این به‌روزرسانی Hub قابل بازیابی نبود.

یک تراکنش جداگانه در THORChain اندکی پس از ازسرگیری تولید بلاک، 168,990.9 واحد ATOM را به آدرس مهاجم بازگرداند. طبق پست انجمن، مهاجم این موجودی را به Osmosis منتقل و آن را فروخت.

Cosmos Labs گفت امکان این بازگشت وجه زمانی شناسایی شد که اعتبارسنج‌ها در حال آماده‌سازی برای راه‌اندازی مجدد بودند؛ یعنی پس از آن‌که نرم‌افزار پچ‌شده توزیع و توسط بسیاری از اپراتورها نصب شده بود. این به‌روزرسانی فقط یک انتقال واحد از موجودی حاضر در ارتفاع توقف را مجاز می‌کرد. این به‌روزرسانی نه تراکنش‌های بعدی از آدرس مهاجم را مسدود کرد و نه وجوهی را که پس از راه‌اندازی مجدد وارد شدند، جابه‌جا کرد.

پاسخ Hub همچنین دارایی‌های ارسال‌شده به سایر شبکه‌ها را پوشش نداد. Cosmos Labs وجوه سرقت‌شده‌ای را شناسایی کرد که از طریق dYdX، Noble، Osmosis، Axelar و زنجیره‌های EVM جابه‌جا شده بودند، همچنین دارایی‌هایی که همچنان روی Neutron قرار دارند. این شرکت گفت تیم‌های مسئول این شبکه‌ها در حال هماهنگی برای تلاش‌های بازیابی مستقل خود هستند.

یک رخداد قبلی و جداگانه نیز نرم‌افزار مورد استفاده دیگر شبکه‌های Cosmos را تحت تأثیر قرار داده بود. در ماه اوت، crypto.news گزارش داد که مهاجمان از یک باگ Cosmos EVM در شش زنجیره سوءاستفاده کرده و توکن‌های سرقت‌شده را به حدود 5.72 میلیون دلار دارایی دیگر تبدیل کردند. روایت Cosmos Labs از پرونده Neutron، حمله‌ای حاکمیتی به Neutron را توصیف می‌کند، نه آن باگ Cosmos EVM را.

بازگشت ATOM به رأی‌گیری حاکمیتی Hub وابسته است

Cosmos Labs اعلام کرد شش امضاکننده توافق کرده‌اند که ATOMهای بازیابی‌شده را بدون استیکینگ، وام‌دهی یا معامله نگه‌داری کنند. آن‌ها نقش خود را اجرای یک بازگردانی مجاز توصیف می‌کنند، نه این‌که خودشان تصمیم بگیرند کدام حساب‌های آسیب‌دیده باید وجوه را دریافت کنند.

پیش از آن‌که این کیف پول بتواند آن انتقال را انجام دهد، یک پیشنهاد حاکمیتی Cosmos Hub باید تصویب شود. تیم بازیابی Neutron انتظار دارد در هفته آینده، پس از مشخص‌کردن مقصد پیشنهادی و روند بازگردانی، یک پیشنهاد ارائه کند. نگه‌دارندگان Neutron همچنین انتظار دارند اوایل هفته آینده روایت خود از این حمله را منتشر کنند.

الزام حاکمیتی به دارندگان ATOM نقشی مستقیم در گام بعدی می‌دهد. حاکمیت Cosmos Hub پیش‌تر نیز درباره سایر موضوعات اثرگذار بر این توکن تصمیم‌گیری کرده است: یک پیشنهاد Osmosis در ماه مارس به‌دنبال تبدیل OSMO به ATOM و واریز توکن‌های مطالبه‌نشده به استخر جامعه Hub بود، هرچند رأی‌گیری بعدی Hub آن طرح را رد کرد.

Cosmos Labs گفت برای بازیابی Neutron، ATOMهای ایمن‌سازی‌شده تا زمان آماده‌شدن پیشنهاد، در کیف پول اعتبارسنج‌ها باقی می‌مانند. این شرکت آدرس‌های مهاجم را با بیش از 30 صرافی، بریج و متولی دارایی به اشتراک گذاشته و گفته چندین مورد از آن‌ها تأیید کرده‌اند که این آدرس‌ها را مسدود کرده‌اند.