122萬 ATOM追回：Cosmos Hub 停止出塊約25小時

為阻止透過 Neutron 治理攻擊流入的約170萬枚 ATOM 繼續從 Cosmos Hub 移動，Cosmos Hub 停止產生區塊約24.5小時。驗證者完成修補程式部署並取得足夠投票權後，網路重新啟動。

Cosmos Labs 在官方公告中表示，攻擊者將從 Neutron 竊取的部分資產透過 IBC 轉入 Cosmos Hub，但 Cosmos Hub 本身並未遭到駭客入侵。Cosmos Hub 於9月22日在區塊高度33,086,740停止運作，並於9月23日晚上9時（韓國時間）重新啟動。

攻擊始於 Neutron

攻擊者利用 Neutron 上名為「AIATO: AI Agent Takeover」的治理提案取得鏈層級權限，之後透過 wasmd 的特權指令，修改 Astroport 等應用程式的智能合約管理員地址並轉移資產。

被竊資產中約170萬枚 ATOM 透過 IBC 移至 Cosmos Hub。由於攻擊者可能利用其他鏈與流動性出售資產，Cosmos Hub 驗證者停止運行節點。本報此前也曾報導Neutron 治理攻擊導致 Cosmos Hub 停止運作的經過。

Cosmos Hub 沒有由中央營運者操作的停止按鈕。當驗證者不參與共識流程時，網路會依照規則停止運作。在 CometBFT 系列共識中，必須取得超過全體投票權三分之二的票數，區塊才能獲得確認。

部署修補程式後重新啟動

Cosmos Labs 製作了 Gaia v28.3.0 修補程式。該修補程式會針對停止時的狀態執行一次性變更，將攻擊者地址中剩餘的1,227,121.37枚 ATOM 轉移至4-of-6多重簽名地址。Nansen、Keplr、Enigma、Silknodes、Kiln 和 Polkachu 參與了多重簽名機制。

驗證者完成修補程式安裝，且參與投票的投票權超過67%後，Cosmos Hub 於9月23日晚上9時重新啟動。約6分鐘後，區塊高度33,086,741執行了一次性狀態變更。網路重新啟動後不久，122萬7121枚 ATOM 轉移至新地址。

Cosmos Labs 表示，該修補程式只變更一個特定帳戶，不會影響其他使用者的餘額與委託狀態。不過，網路重新啟動後有168,990.9枚 ATOM 退回攻擊者地址，這批資產已被轉移，因此不在追回範圍內。追回的1,227,121枚 ATOM 目前存放於多重簽名地址，若要再次轉移，仍需取得 Cosmos Hub 治理的額外批准。

安全性與活性之間的衝突

這起事件顯示，區塊鏈的安全性與活性不一定能同時維持。安全性指的是互相衝突的狀態不會同時獲得確認；活性則是網路持續處理新交易與區塊的能力。

Cosmos Hub 驗證者選擇安全性，而不是維持活性。若持續產生區塊，攻擊者資金可能進一步轉移；若在共識不足的情況下確認狀態，也可能讓不同帳本同時成為正式紀錄。

持有私鑰並不代表交易會立即寫入帳本。私鑰只能提供交易簽署權限，無法保證網路持續產生並確認區塊。若沒有新區塊生成，即使交易已完成簽署，也不會獲得確認。

比特幣(BTC)採用工作量證明機制，選擇累積工作量最大的鏈。交易被納入區塊後，隨著確認數增加，回溯交易的成本也會提高，因此其穩定性更接近透過累積確認形成的機率性安全，而非一次明確的最終確認。

以太幣(ETH)則透過權益證明機制下的驗證者投票取得區塊最終性。當一定比例的驗證者沒有參與投票時，最終性可能延後，但協議會降低不活躍驗證者的影響力並嘗試恢復。

Solana(SOL)曾在2021年9月因機器人交易激增、驗證者記憶體耗盡而停止運作約17小時。Solana 基金會當時表示，驗證者無法就當前狀態達成共識，因此無法確認新區塊。雖然原因不同，但與 Cosmos Hub 案例一樣，核心問題都是如何就帳本的下一個狀態達成共識。

這次停運顯示，去中心化網路並非絕對不會停止，關鍵在於網路會在什麼條件下停止，以及透過何種共識重新運作。Neutron 方面的事後分析與追回資產處理程序將另行進行。