Puntos clave de la Noticia:
- Intervención y recuperación: Tras detener su producción de bloques durante casi 25 horas, Cosmos Hub reinició en el bloque 33.086.741 confiscando 1.227.121,37 ATOM (aprox. $2,2 millones de dólares) que estaban en poder de una dirección vinculada al atacante.
- Custodia comunitaria: Los fondos recuperados fueron transferidos a una billetera multifirma (multisig) de validadores para coordinar su restitución a los contratos y usuarios afectados.
- Fuga de fondos: Pese a la captura inicial, 168.990,9 ATOM entraron a la dirección del atacante siete bloques después del reinicio mediante un reembolso de THORChain, evadiendo el barrido. El atacante transfirió estos fondos a Osmosis y los liquidó por unos 266.841 USDC, convirtiendo gran parte en Ethereum (ETH).
Luego de una interrupción coordinada de casi 25 horas, finalmente la red Cosmo Hub volvió a la producción de bloques. Los validadores tomaron la decisión de detener la cadena para congelar y recuperar activos provenientes de un exploit de gobernanza perpetrado contra la red Neutron, evitando así que se dispersaran por el ecosistema mediante puentes interblockchain (IBC).
The Cosmos Hub network has been successfully restarted by validators on schedule; block production has resumed, and operations are normal.
The network will continue to be monitored; further updates will follow. https://t.co/xnoWWHWMst
— Cosmos Hub ⚛️ (@cosmoshub) September 23, 2026
En el primer bloque tras el reinicio (bloque 33.086.741), el software actualizado ejecutó automáticamente la transferencia de 1.227.121,37 ATOM (valuados en aproximadamente $2,2 millones de dólares) desde la dirección asociada al hacker hacia una cuenta de recuperación. Según confirmaron desde Cosmos Hub, su infraestructura principal no sufrió ninguna vulnerabilidad directa; la medida fue una acción defensiva coordinada entre validadores para resguardar los fondos drenados.
El origen: exploit de gobernanza en Neutron
De acuerdo con declaraciones de Spaydh, excolaborador de Neutron, el incidente se desencadenó cuando el hacker acumuló suficiente poder de votación en tokens NTRN para sacar adelante una propuesta de gobernanza por vía rápida. Esta maniobra le otorgó derechos de administrador sobre 11 contratos inteligentes críticos, incluidos componentes de liquidez e infraestructura de Astroport y Drop.
Una vez con el control, los contratos fueron migrados a código malicioso para permitir el retiro no autorizado de activos. Aunque las estimaciones iniciales de pérdidas rondaban entre $4,4 millones y cifras superiores reportadas previamente, los límites de retiro y la posterior suspensión de Neutron impidieron la fuga de más de $1,6 millones en USDC, así como cantidades representativas de tokens NTRN y ASTRO. Cerca del 70% de los ATOM sustraídos habían quedado varados dentro de Cosmos Hub al momento del cese de bloques.
La brecha: un reembolso de THORChain eludió la captura
A pesar del éxito del barrido ejecutado en el primer bloque, la operación dejó una ventana abierta. El analista on-chain Rarma detectó que, apenas siete bloques después del reinicio, un reembolso procedente de THORChain por un total de 168.990,9 ATOM llegó a la misma dirección del atacante.
Dado que la transacción de rescate sólo actuó sobre el balance presente en el bloque exacto del reinicio, los nuevos fondos no quedaron bloqueados. Los tokens permanecieron en dicha dirección por casi seis horas antes de ser enviados a través de IBC hacia la red Osmosis, donde el atacante los vendió en varios lotes por aproximadamente 266.841 USDC, para luego convertirlos en su mayoría a Ethereum (ETH). Rarma también señaló que una transacción previa intentó transferir 500.000 ATOM sin éxito por falta de saldo, demostrando que la dirección conservaba la capacidad de emitir transferencias en la red tras la reactivación.
Los más de 1,22 millones de ATOM recuperados permanecen bajo el control de una multisig de validadores de Cosmos Hub. Los equipos de Cosmos, Neutron y los protocolos perjudicados trabajan en la logística para conciliar los balances y devolver los activos a sus propietarios legítimos.
Por su parte, los desarrolladores de Neutron preparan un nuevo binario para reiniciar su cadena, restablecer los contratos comprometidos a sus versiones originales y endurecer los mecanismos de gobernanza para evitar ataques similares en el futuro.
