Злоумышленник перевел около 1,73 миллиона украденных ATOM из Neutron на Cosmos Hub в ходе атаки на управление 22 сентября. Валидаторы Hub смогли обезопасить 1 227 121,37 ATOM из этого потока с помощью экстренного обновления программного обеспечения, но шесть подписантов, контролирующих средства, заявили, что для их высвобождения в пользу пострадавших пользователей и протоколов необходимо принять отдельное предложение управления Hub.
Это условие, подробно описанное в отчете Cosmos Labs от 25 сентября, разделяет экстренные меры, предпринятые валидаторами для предотвращения дальнейших утечек, и решение о том, кто должен получить средства. По адресу восстановления находился 1 227 121,374688 ATOM, что подтверждается запросом баланса Hub в 15:40 UTC 26 сентября. Токены находились под стражей, в то время как Cosmos Labs сообщила, что команда реагирования Neutron все еще готовит доказательства и план распределения для возврата средств.
Как валидаторы обезопасили ATOM
Атака началась на Neutron 22 сентября, когда предложение управления предоставило злоумышленнику административный контроль над контрактами, используемыми Astroport и другими протоколами, по словам сопровождающих Hub. Злоумышленник перевел часть украденных активов на другие сети, включая около 1,73 миллиона ATOM на Cosmos Hub. Сам Hub не был скомпрометирован; он стал местом, где часть украденного баланса все еще могла быть перехвачена.
По мере того как злоумышленник обменивал и переводил ATOM через мосты, валидаторы Hub остановили свою сеть на высоте 33 086 740. Затем они согласились перезапустить сеть на пропатченной версии программного обеспечения Gaia, v28.3.0. На первой высоте после остановки патч внес одноразовое изменение состояния, которое перевело 1 227 121,37 ATOM с адреса Hub, связанного со злоумышленником, на мультиподписной кошелек для восстановления, прежде чем обычные транзакции возобновились. В еженедельном обновлении Hub от 24 сентября говорится, что бинарный файл был ограничен одним исходным аккаунтом и не изменял другие балансы пользователей или делегирования.
Этот процесс представлял собой скоординированное обновление валидаторов, а не голосование в сети, разрешающее компенсацию. Cosmos Labs заявляет, что валидаторы получили исходный код и адреса назначения, список из шести подписантов и предложенную область действия перед сборкой и распространением бинарного файла. Валидаторы, представляющие более 67% голосующей мощности Hub, подтвердили установку перед перезапуском 23 сентября. Блоки возобновились в 12:00 UTC, а перевод вступил в силу примерно в 12:06 UTC.
Сопровождающие заявили, что бинарный файл был протестирован на форке состояния основной сети и распространен с контрольной суммой. Его исходный diff был удержан в то время, поскольку его публикация раскрыла бы исправления безопасности в базовом релизе v28.2.0, которые оставались под эмбарго скоординированного раскрытия. Cosmos Labs заявила, что ожидает опубликовать diff после снятия эмбарго. Это было в соответствии с графиком раскрытия информации от 25 сентября, а не подтверждением более позднего выпуска.
Хранение украденных ATOM не определяет, кто получит выплаты
Nansen, Keplr, Enigma, Silknodes, Kiln и Polkachu — шесть валидаторов, названных подписантами мультиподписного кошелька. Любые четыре подписи соответствуют техническому порогу для транзакции. Подписанты заявили об отдельном условии использования этой возможности: для авторизации законного перевода должно быть принято сигнальное предложение Cosmos Hub. Cosmos Labs заявляет, что не имеет ключа к кошельку.
Это создает две отдельные формы контроля. Сверхи большинство валидаторов согласились изменить состояние Hub во время остановки, чтобы злоумышленник не мог переместить уже имеющийся баланс. Подписанты, осуществляющие хранение, теперь владеют этими украденными ATOM, но заявляют, что будут ждать публичного мандата управления, прежде чем принимать решение о назначении. Экстренный патч не определил всех законных претендентов и не утвердил график распределения.
Предлагаемый маршрут начинается со стороны Neutron. Cosmos Labs заявила, что Neutron был перезапущен с мерами смягчения последствий к 25 сентября, в то время как участники и пострадавшие протоколы, включая Astroport и Drop, готовили доказательства того, что было украдено и куда должны быть направлены восстановленные активы. Ожидалось, что команда реагирования представит или поддержит предложение Hub на следующей неделе. Будет ли управление Neutron также голосовать, это решение самой сети, говорится в сообщении аккаунта Hub.
Список предложений управления Hub, проверенный в 15:40 UTC 26 сентября, не показал принятого мандата для мультиподписного кошелька восстановления среди видимых записей после инцидента. Его последнее предложение, 1057, касалось восстановления легковесного клиента Realio IBC. Предложение 1056 под названием «Возврат ATOM и вознаграждение за справедливость» все еще находилось на стадии голосования и требовало другого возврата и вознаграждения; оно не разрешало распределение средств командой реагирования Neutron из этого мультиподписного кошелька. Таким образом, требование управления оставалось перспективным на момент проверки.
Перевод на Hub покрыл ATOM, находившиеся на одном адресе, связанном со злоумышленником, на момент остановки. Он не отменил более широкую атаку на Neutron. Cosmos Labs заявила, что около 500 000 ATOM уже были обменены через THORChain до остановки, в то время как другие украденные активы достигли сетей за пределами Hub. Их отчет не устанавливает окончательный размер претензии каждого пострадавшего аккаунта и не обещает полного возмещения.
Почему патч не смог захватить более поздние средства
Еще 168 990,9 ATOM иллюстрируют временное ограничение патча. Ожидаемый возврат средств THORChain поступил на адрес злоумышленника сразу после перезапуска, после того как одноразовый перевод был выполнен. Cosmos Labs заявила, что валидаторы знали о возможном поступлении средств, но изменение протестированного бинарного файла для их захвата потребовало бы другого кода и более длительной остановки. Возвращенные ATOM были переведены на Osmosis и проданы. Это был более поздний приход на адрес злоумышленника, отдельный от баланса, уже переведенного на мультиподписной кошелек. Правило, примененное один раз при перезапуске, не могло автоматически собрать более поздний депозит.
План восстановления со стороны Neutron все еще должен определить, кому что причитается и куда должны быть направлены средства. Предложение Hub, поддержанное этим планом, затем предоставит шести подписантам публичный мандат, который, по их словам, им необходим. До тех пор, пока эти шаги не будут предприняты, обеспеченные ATOM остаются доступными для восстановления, а их получатели не определены.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Liam 'Akiba' Wright
