Los validadores de Cosmos Hub han puesto bajo custodia 1.227.121,374688 ATOM vinculados al ataque sufrido por Neutron el 22 de septiembre. Sin embargo, los fondos todavía no han sido devueltos a los usuarios y protocolos afectados: las seis entidades que controlan la cartera de recuperación esperan a que una propuesta de gobernanza del Hub autorice la transferencia.
Una intervención coordinada en Cosmos Hub
El atacante obtuvo el control administrativo de varios contratos utilizados por Astroport y otros protocolos después de que Neutron aprobara una propuesta de gobernanza maliciosa, según los mantenedores del Hub. Parte de los activos robados se desplazó después a otras redes. Entre ellos había aproximadamente 1,73 millones de ATOM enviados a Cosmos Hub.
La cadena de Cosmos no fue explotada directamente. Se convirtió, en cambio, en el punto donde todavía era posible interceptar una parte de los fondos. Mientras el atacante intercambiaba y trasladaba los ATOM entre redes, los validadores detuvieron el Hub en la altura 33.086.740.
La cadena se reanudó con una versión modificada del software Gaia, la 28.3.0. En el primer bloque posterior a la interrupción, ese parche ejecutó un cambio de estado único: movió 1.227.121,37 ATOM desde una dirección asociada al atacante a una cartera multifirma de recuperación. Las operaciones ordinarias se reanudaron a las 12:00 UTC del 23 de septiembre y la transferencia se produjo aproximadamente seis minutos después.
Cosmos Labs sostiene que el binario solo afectaba a esa cuenta y no modificaba los saldos ni las delegaciones del resto de usuarios. Más del 67% del poder de voto del Hub había confirmado la instalación antes del reinicio. El código se probó sobre una bifurcación del estado de la red principal y se distribuyó con una suma de comprobación.
La organización no publicó inicialmente la diferencia de código porque el lanzamiento podía revelar correcciones de seguridad de la versión 28.2.0, todavía sometidas a un proceso de divulgación coordinada. En su comunicación del 25 de septiembre, Cosmos Labs indicó que esperaba publicar esa información una vez levantado el embargo.
La recuperación queda pendiente de una votación
La cartera de recuperación tiene como firmantes a Nansen, Keplr, Enigma, Silknodes, Kiln y Polkachu. Técnicamente, cuatro de las seis firmas son suficientes para autorizar una transacción. Los firmantes, no obstante, han señalado que no utilizarán esa capacidad hasta que una propuesta de gobernanza del Cosmos Hub apruebe una transferencia legítima.
Cosmos Labs afirma que no controla las claves de la cartera. La situación separa dos decisiones distintas: la actuación de emergencia de los validadores para impedir que siguieran saliendo fondos y la determinación posterior de quién debe recibir los activos recuperados.
El plan debe elaborarse primero en Neutron. El equipo de respuesta y los protocolos afectados, entre ellos Astroport y Drop, estaban recopilando pruebas sobre los activos sustraídos y preparando una propuesta de distribución. Cosmos Labs señaló que Neutron ya había reanudado su actividad con medidas de mitigación el 25 de septiembre y que el equipo esperaba presentar o respaldar una propuesta en el Hub durante la semana siguiente.
En una consulta realizada a las 15:40 UTC del 26 de septiembre no constaba ninguna autorización aprobada para la cartera de recuperación entre las propuestas posteriores al incidente. La propuesta 1056, titulada “ATOM Refund & Justice Bounty”, seguía en votación y planteaba otro mecanismo de reembolso y recompensa, pero no autorizaba la distribución de los fondos retenidos en esta multifirma.
El parche no pudo recuperar todos los fondos
La intervención tampoco revirtió todo el ataque. Cosmos Labs indicó que unos 500.000 ATOM ya habían pasado por THORChain antes de la detención del Hub y que otros activos robados llegaron a redes distintas.
Además, 168.990,9 ATOM llegaron a la dirección del atacante mediante un reembolso pendiente de THORChain después del reinicio. Como el parche solo ejecutaba una transferencia puntual al reanudarse la cadena, no pudo capturar ese depósito posterior. Esos tokens fueron trasladados a Osmosis y vendidos.
Por ahora, los 1,22 millones de ATOM interceptados permanecen bajo custodia, pero todavía no existe un reparto aprobado ni una confirmación de que las reclamaciones puedan cubrir la totalidad de las pérdidas.
