Cosmos Hub redémarre après une interruption et récupère 2,2 M$ en ATOM, 169 000 ATOM échappent au ratissage

Cosmos Hub a relancé son réseau après une interruption proche d'une journée et a transféré 1 227 121,37 ATOM depuis une adresse liée à l'attaquant vers une adresse de récupération, soit environ 2,2 millions de dollars. Les validateurs ont repris la production de blocs le 23 septembre, le redémarrage intervenant au bloc 33 086 741. La mise à niveau a d'abord déplacé le solde associé à l'attaque avant le retour à l'activité normale. Cosmos Hub affirme que son réseau n'a pas été exploité et que l'arrêt visait à sécuriser des actifs provenant d'un pont depuis Neutron. Ces fonds ont été placés sous le contrôle d'un multisig de validateurs communautaires. Selon Spaydh, ancien contributeur de Neutron, un attaquant a accumulé suffisamment de pouvoir de vote NTRN pour faire adopter en procédure accélérée une proposition de gouvernance. Celle-ci a réattribué des droits d'administration sur 11 smart contracts, dont des composants d'infrastructure utilisés par Astroport et Drop. Les contrats auraient été migrés vers un code malveillant permettant de retirer des actifs. Spaydh évalue l'impact initial à environ 4,4 millions de dollars, dont près de 3 millions en ATOM, 1,2 million en USDC, autour de 100 000 dollars en DYDX, ainsi que de plus petites quantités de wstETH et de WETH. Une estimation antérieure évoquait des pertes d'environ 9,3 millions de dollars. Des limitations de débit sur Neutron puis l'interruption ultérieure ont empêché une partie des actifs de quitter le réseau. Spaydh indique que plus de 1,6 million de dollars en USDC ont été protégés, ainsi que des montants significatifs de NTRN et d'ASTRO. Au moment où les validateurs ont stoppé la production, environ 70 % des ATOM dérobés se trouvaient encore sur Cosmos Hub, laissant près de 2,15 millions de dollars en ATOM à portée de l'opération de récupération. Un remboursement THORChain est ensuite parvenu à l'attaquant après l'exécution de la transaction de récupération. L'analyste crypto Rarma rapporte que 168 990,9 ATOM sont arrivés sur l'adresse liée à l'attaquant sept blocs après le redémarrage. Les jetons y sont restés près de six heures avant d'être transférés vers Osmosis, puis vendus par lots pour environ 266 841 USDC. Une grande partie du produit de vente a ensuite été convertie en Ethereum. Rarma ajoute qu'une tentative antérieure de transfert de 500 000 ATOM a échoué faute de fonds suffisants, et que la transaction suggère que l'adresse concernée pouvait encore soumettre un transfert IBC après le redémarrage. Cosmos Hub n'a pas expliqué publiquement pourquoi ce transfert ultérieur a pu aboutir, ni précisé si des restrictions supplémentaires étaient prévues pour les fonds arrivant sur cette adresse après le ratissage initial. Cosmos Hub indique que les ATOM récupérés restent sous contrôle communautaire et que les validateurs du Hub, les participants de Neutron et les protocoles affectés coordonnent la restitution des fonds. Spaydh affirme que des contributeurs ont préparé un nouveau binaire visant à restaurer les contrats touchés à leur code et à leurs administrateurs d'origine, à renforcer les garde-fous de gouvernance et à transférer les actifs restant sous contrôle de l'attaquant vers un multisig de validateurs. Le processus de restitution est encore en cours de finalisation. Les fonds récupérés devraient retourner à leurs contrats et utilisateurs d'origine après la reprise de la production de blocs sur Neutron. Spaydh indique que Neutron visait un redémarrage sous environ 24 heures et que les retours d'actifs devraient commencer ensuite. Un post-mortem complet sera publié une fois la chaîne de nouveau en ligne. Cosmos Hub a aussi indiqué qu'il fournira des détails complémentaires sur les ATOM sécurisés dans une mise à jour distincte sur le forum.