1,22 triệu ATOM được chuyển khỏi ví kẻ tấn công sau khi Cosmos Hub hoạt động lại

Cosmos Hub đã hoạt động trở lại sau khi dừng tạo khối khoảng 25 giờ. Trong khối đầu tiên sau khi khởi động lại, 1.227.121 Cosmos (ATOM) từ ví của kẻ tấn công đã được chuyển tới một địa chỉ mới, với giá trị khoảng 2,1 triệu USD (khoảng 2,8 tỷ won).

Unchained cho biết Cosmos Hub đã khôi phục việc tạo khối bình thường sau khi hoạt động trở lại. Giao dịch này được ghi nhận trong sự kiện khối dù không có giao dịch được chủ ví ký, trong khi chủ thể kiểm soát địa chỉ nhận chưa được công bố.

Ngay sau khi khởi động lại, kho bạc THORChain đã hoàn trả 168.991 Cosmos trong số các lệnh hoán đổi quy mô 200.000 Cosmos mà kẻ tấn công gửi trước đó nhưng chưa được xử lý. Giá trị số tài sản hoàn trả khoảng 294.000 USD (khoảng 400 triệu won).

Sau đó, kẻ tấn công cố chuyển 500.000 Cosmos từ Cosmos Hub sang Osmosis nhưng giao dịch thất bại do không đủ số dư. Tính đến 0 giờ 15 phút ngày 24 theo giờ Hàn Quốc, số tài sản được hoàn trả vẫn nằm trong ví của kẻ tấn công.

Sự việc bắt đầu từ một cuộc tấn công quản trị nhằm vào Neutron (NTRN). Quản trị là cơ chế trong đó người nắm giữ token bỏ phiếu để đưa ra các quyết định quan trọng của giao thức.

Đề xuất 'AIATO: AI Agent Takeover' của Neutron đã trải qua quy trình bỏ phiếu nhanh kéo dài 3 ngày. Cuộc bỏ phiếu kết thúc lúc 11 giờ 24 phút ngày 22 theo giờ Hàn Quốc và được thông qua với khoảng 82% phiếu thuận.

Đề xuất bao gồm 11 thông điệp chuyển quyền quản trị các hợp đồng Neutron sang địa chỉ của người đề xuất. Trong đó, 10 thông điệp liên quan đến các hợp đồng của sàn giao dịch phi tập trung Astroport và giao thức staking thanh khoản Drop.

Tài khoản nắm giữ phần lớn phiếu thuận đã mua 31,6 triệu Neutron bằng 20.199 USDC (khoảng 27,35 triệu won) rồi staking số token này khi thời điểm kết thúc bỏ phiếu còn chưa đầy 12 phút. Sau đó, kẻ tấn công thay đổi mã của 10 hợp đồng và rút tài sản trước khi 30 phút trôi qua.

Rarma, đơn vị công bố phân tích on-chain, đánh giá quy mô tài sản do kẻ tấn công di chuyển vào khoảng 9,4 triệu USD (khoảng 12,7 tỷ won). Trong số này, khoảng 1,96 triệu USD (khoảng 2,7 tỷ won) vẫn nằm trên các chain đang vận hành tại thời điểm đó.

Neutron đã dừng tạo khối sau cuộc tấn công. Spaydh, một cựu cộng tác viên của Neutron, cho biết chain đã 'bị dừng để ngăn thiệt hại tiếp diễn'.

Astroport hướng dẫn người dùng rút thanh khoản trên tất cả các chain cho đến khi có thông báo riêng. Đây là biện pháp nhằm ngăn thiệt hại lan rộng, trong bối cảnh quyền quản trị hợp đồng của từng ứng dụng đã bị thay đổi thông qua đề xuất quản trị cấp chain trong quá trình tấn công.

Tài khoản Cosmos Hub cho biết bản thân hub không bị tấn công. Theo giải thích này, nguồn tiền của Cosmos Hub không bị ảnh hưởng, ngoại trừ số tài sản đã được chuyển từ Neutron.

Sự việc cho thấy cơ chế bảo vệ đa chữ ký của các hợp đồng ứng dụng có thể không được ưu tiên hơn quyền quản trị cấp chain. Sau khi đề xuất của Neutron được thông qua, quyền ở cấp chain có thể thay đổi quản trị viên của các hợp đồng Astroport và Drop.

Hệ sinh thái Cosmos kết nối nhiều chain và ứng dụng, nên một cuộc tấn công quản trị trên một chain có thể dẫn tới việc tài sản được chuyển sang chain khác và mạng lưới bị gián đoạn. Cuộc tấn công lần này không dẫn tới việc tiền của Cosmos Hub bị đánh cắp, nhưng khiến các validator tạm dừng hub để hạn chế những đợt chuyển tài sản tiếp theo.

Cosmos Hub đã nối lại việc tạo khối. Tuy nhiên, việc xử lý tiếp theo đối với tài sản còn lại tại các địa chỉ của kẻ tấn công và tài sản bị hạn chế di chuyển từ Neutron sẽ được tiến hành theo quy trình riêng.