Cosmos Hub Sécurise 1,23 Million D’Atom Après Neutron

Quand une chaîne sœur se fait vider par une proposition de gouvernance malveillante, que reste-t-il au réseau principal ? Dans le cas du Cosmos Hub, la réponse a été brutale et rare : arrêter presque complètement la production de blocs pendant une journée, puis déplacer plus d’un million de jetons ATOM vers un coffre communautaire. L’affaire Neutron, révélée et précisée fin septembre 2026, n’est pas une simple anecdote de piratage. Elle raconte comment un écosystème interchaînes réagit quand l’argent volé atterrit pile sur sa place centrale.

Ce Que L’Arrêt Du Hub Révèle Sur L’Interchaîne

Le 22 septembre, Neutron a subi une attaque de gouvernance. Un vote corrompu a donné à l’attaquant le contrôle de contrats utilisés par Astroport et d’autres protocoles. Les fonds extraits n’ont pas tous resté sur Neutron. Une partie importante a traversé les ponts et les canaux IBC pour arriver sur le Hub. C’est là que le scénario bascule : le Hub n’était pas la cible initiale, mais il est devenu le verrou.

Cosmos Labs l’a répété le 25 septembre : le Hub lui-même n’a pas été compromis. Les soldes des utilisateurs ordinaires n’ont pas été touchés. Les jetons saisis venaient d’ailleurs. Pourtant, sans réaction coordonnée, l’attaquant aurait pu continuer à les faire circuler, les échanger, les diluer dans d’autres liquidités. C’est précisément ce que les validateurs ont voulu empêcher.

Une alerte venue de Neutron, pas d’un tableau de bord interne

Vers 09 h 50 UTC, des contributeurs Neutron et des membres de la communauté ont prévenu les validateurs du Hub et Cosmos Labs. Le message n’était pas théorique. Des ATOM volés étaient déjà en mouvement. L’attaquant les envoyait vers plusieurs chaînes et commençait à en échanger une partie via THORChain.

Les validateurs représentant plus d’un tiers du pouvoir de vote ont alors arrêté leurs nœuds. Sur Cosmos, ce seuil suffit à casser le consensus. Le réseau s’est figé au bloc 33 086 740 vers 11 h 18 UTC. L’horloge s’est arrêtée. Les dépôts, les retraits, les transferts IBC : tout a attendu.

Ce geste n’a rien d’anodin. Un halt n’est pas un bouton d’urgence prévu pour le confort. C’est une décision politique autant que technique. Elle dit que certains flux valent mieux être interrompus que de laisser un butin quitter le périmètre. Elle dit aussi que le Hub accepte, exceptionnellement, de se comporter comme un coordinateur de crise plutôt que comme une simple horloge distribuée.

Le patch unique et le coffre à six clés

Pendant la pause, Cosmos Labs a préparé, à la demande des validateurs, une mise à jour logicielle ponctuelle. Gaia v28.3.0 n’était pas une refonte. C’était un instrument de précision. Le plan écrit identifiait l’adresse de l’attaquant, le portefeuille de destination, les six signataires proposés et le seul compte que la mise à jour allait modifier.

Les validateurs ont reçu ce plan avant la distribution du binaire patché. Nansen, Keplr, Enigma, Silknodes, Kiln et Polkachu ont accepté de détenir les six clés. Quatre signatures sur six sont nécessaires pour bouger les fonds. Avant d’inscrire l’adresse dans le code, les signataires ont vérifié le portefeuille et ont confirmé son existence par une transaction de test.

Le Hub n’a pas été attaqué. Les fonds des utilisateurs du Hub n’ont pas été touchés. Les ATOM saisis venaient de Neutron.

Cosmos Labs, mise à jour du 25 septembre 2026

Au moment prévu du redémarrage, plus des deux tiers du pouvoir de vote avaient installé v28.3.0. La production de blocs a repris le 23 septembre à 12 h 00 UTC. Environ six minutes plus tard, le transfert de 1 227 121,37 ATOM a pris effet. En fin de journée, 174 validateurs sur 180 étaient de nouveau en ligne. Coinbase et Kraken figuraient parmi les opérateurs impliqués dans cette relance coordonnée.

Ce que le halt n’a pas pu rattraper

Le solde sécurisé correspond uniquement aux ATOM encore présents sur l’adresse de l’attaquant au moment de l’arrêt. Environ 500 000 ATOM avaient déjà été échangés contre de l’ETH via THORChain. Ces jetons ont quitté le périmètre du Hub. Aucune mise à jour locale ne pouvait les ramener.

Plus délicat encore : une transaction THORChain a renvoyé 168 990,9 ATOM vers l’adresse de l’attaquant peu après la reprise. Ces fonds sont arrivés trop tard pour entrer dans le transfert unique prévu par le patch. L’attaquant les a envoyés vers Osmosis et les a vendus. Cosmos Labs a indiqué que ce flux possible n’avait été identifié qu’après la distribution du logiciel. Le correctif n’autorisait qu’un seul mouvement, calculé à la hauteur du halt. Il ne bloquait pas les transactions ultérieures.

Le Hub n’a pas non plus couvert les actifs partis vers dYdX, Noble, Osmosis, Axelar et des chaînes EVM, ni ceux restés sur Neutron. Chaque équipe gère sa propre piste. L’image d’un sauvetage total serait donc trompeuse. On a isolé une poche. On n’a pas refermé toute la brèche.

Pourquoi Neutron était un point de bascule

Neutron s’est construit comme une chaîne de contrats intelligents proche du Hub, pensée pour accueillir de la DeFi et des applications interchaînes. Astroport y joue un rôle de place de marché. Quand une proposition malveillante s’empare des contrats qui font tourner ces protocoles, le vol n’est plus un simple drain de trésorerie. C’est une prise de contrôle du levier opérationnel.

La gouvernance on-chain, vantée comme un progrès démocratique, devient ici une surface d’attaque. Si le quorum, la délégation, les délais de vote ou les droits d’exécution sont mal calibrés, un acteur peut transformer un bulletin en clé maître. Ce n’est pas un défaut exclusif de Neutron. C’est une tension que presque toutes les chaînes à gouvernance active connaissent.

Le Hub, de son côté, n’est pas un univers isolé. Il est le centre de gravité d’un graphe. Les ATOM y circulent comme collatéral, frais, enjeu de sécurité et actif de trésorerie. Quand un butin arrive sur cette place, le silence n’est plus neutre. Laisser partir les fonds, c’est accepter que le Hub serve de chambre de compensation au voleur. Les interrompre, c’est accepter d’intervenir dans l’histoire d’une autre chaîne.

Le précédent d’août et ce que cette affaire n’est pas

En août, une faille liée à Cosmos EVM avait déjà touché six chaînes. Les attaquants avaient converti le butin en environ 5,72 millions de dollars d’autres actifs. Cosmos Labs a insisté : le cas Neutron est une attaque de gouvernance, pas cette faille EVM. Mélanger les deux épisodes serait commode pour le récit, mais faux pour le diagnostic.

Cette distinction compte. Une vulnérabilité logicielle se corrige par un patch, des audits, parfois un fork. Une gouvernance capturée se corrige par des règles de vote, des délais, des permissions, une culture de revue des propositions. On ne soigne pas un bulletin corrompu avec le même outillage qu’un overflow.

Le vote qui décidera du destin des ATOM gelés

Les six signataires se sont engagés à ne pas staker, prêter ni trader les ATOM récupérés. Ils se présentent comme des exécutants, pas comme des juges. Ils n’arbitreront pas eux-mêmes qui doit recevoir quoi. Un vote du Cosmos Hub devra d’abord autoriser le transfert.

L’équipe de récupération de Neutron prévoit de déposer une proposition dans la semaine, une fois la destination et la procédure précisées. Les mainteneurs de Neutron annoncent aussi leur propre récit de l’attaque pour le début de la semaine suivante. En attendant, les jetons restent dans le portefeuille validateur.

Ce mécanisme donne aux détenteurs d’ATOM un rôle direct. Ce n’est pas un détail cosmétique. Le Hub a déjà tranché d’autres dossiers sensibles. En mars, une proposition Osmosis visait à convertir de l’OSMO en ATOM et à placer des jetons non réclamés dans la community pool du Hub. Un vote ultérieur du Hub a rejeté ce plan. La mémoire institutionnelle existe. Elle sera convoquée.

Exchanges, ponts et listes noires

Cosmos Labs a partagé les adresses de l’attaquant avec plus de trente plateformes, ponts et dépositaires. Plusieurs ont confirmé les avoir bloquées. Cette couche off-chain est souvent négligée dans les récits « code is law ». Elle reste pourtant décisive. Un jeton isolé on-chain peut encore être monétisé si une rampe fiat ou un book de change l’accepte.

Le halt a donc deux faces. L’une est technique : un état figé, un transfert forcé, un redémarrage. L’autre est sociale : des listes d’adresses, des appels aux custodians, une discipline de place. Sans la seconde, la première n’aurait sauvé qu’un solde théorique.

Ce que signifie « sécuriser » dans un graphe IBC

Sécuriser 1,23 million d’ATOM n’équivaut pas à les rendre. Cela veut dire les extraire du contrôle immédiat de l’attaquant et les placer sous une règle collective. Entre les deux actes s’ouvre une période politique. Qui est victime prioritaire ? Les protocoles Neutron ? Les fournisseurs de liquidité Astroport ? Les utilisateurs finaux ? Un fonds communautaire ? Un mélange ?

Chaque réponse crée un précédent. Si le Hub restitue trop vite, on l’accusera d’avoir improvisé. S’il tarde, on l’accusera d’avoir politisé un vol. S’il refuse, on dira qu’il a transformé un sauvetage en confiscation. Il n’existe pas de solution élégante. Il n’existe que des arbitrages documentés.

La coordination des validateurs, force et zone grise

Plus d’un tiers du pouvoir de vote a suffi à stopper le réseau. Plus de deux tiers ont suffi à le relancer avec un patch ciblé. Cette architecture, conçue pour la résistance aux pannes, sert ici d’outil de crise. Elle fonctionne. Elle inquiète aussi. Car le même ressort pourrait, en théorie, servir d’autres agendas.

Les défenseurs diront que le plan était public auprès des validateurs, limité à une adresse, vérifié par un test, et que les fonds restent soumis à un vote. Les critiques diront qu’un halt de 24,5 heures et un transfert extraordinaire montrent que la neutralité du Hub a des limites concrètes. Les deux lectures peuvent coexister. Elles devront coexister.

Les signataires ne décident pas qui récupère les fonds. Ils exécutent un retour autorisé par la gouvernance.

Position rapportée des six validateurs gardiens

Chronologie utile pour ne pas se perdre

Le 22 septembre, l’attaque de gouvernance frappe Neutron. Les actifs commencent à voyager. Une partie des ATOM arrive sur le Hub. THORChain sert déjà de rampe de sortie vers l’ETH. L’alerte communautaire part vers 09 h 50 UTC. Le halt intervient vers 11 h 18 UTC au bloc 33 086 740.

Le 23 septembre à 12 h 00 UTC, le réseau redémarre sous Gaia v28.3.0. Six minutes plus tard, 1 227 121,37 ATOM basculent vers le coffre à quatre signatures sur six. Ensuite, 168 990,9 ATOM reviennent trop tard sur l’adresse attaquante et sont revendus via Osmosis. Le 25 septembre, Cosmos Labs publie le récit consolidé.

• 22 septembre : attaque Neutron, flux vers le Hub et THORChain.
• Matin du 22 : alerte, puis halt au bloc 33 086 740.
• 23 septembre : redémarrage, transfert du solde gelé.
• Après reprise : arrivée tardive de 168 990,9 ATOM, puis vente.
• 25 septembre : point officiel de Cosmos Labs.

Ce que les marchés regardent maintenant

Le prix de l’ATOM n’est pas le seul indicateur. Les observateurs suivent la liquidité Osmosis, les files IBC, la confiance des délégateurs envers les validateurs qui ont accepté le halt, et la qualité de la future proposition Neutron. Un texte flou provoquerait un débat long. Un texte trop précis sur certains créanciers en froisserait d’autres.

Les exchanges qui ont repris dépôts et retraits après la stabilisation surveillent aussi le risque de réputation. Participer à un redémarrage coordonné, comme Coinbase et Kraken selon la mise à jour, n’est pas un acte anodin. Cela montre que les opérateurs institutionnels acceptent parfois d’entrer dans la salle des machines d’une crise interchaînes.

Gouvernance, délais et culture du doute

Si une leçon pratique se dégage déjà, c’est celle du temps. Une proposition dangereuse a besoin de regards, de simulations, de droits d’exécution séparés du droit de vote. Trop de protocoles traitent encore le vote comme une formalité. Neutron vient de rappeler que le bulletin peut valoir une clé de trésorerie.

Autre leçon : la traçabilité ne suffit pas. Savoir où sont allés les fonds n’équivaut pas à les reprendre. THORChain, Osmosis, Axelar, Noble, dYdX et les rails EVM fragmentent le butin. Chaque saut réduit la surface d’un patch unique. D’où l’importance d’agir tôt, et d’où le coût d’avoir agi seulement sur le solde restant au halt.

Le Hub comme chambre d’appel, pas comme police universelle

On entendra des voix réclamer que le Hub devienne le gendarme par défaut de l’écosystème. Ce serait une mauvaise lecture. Le Hub a agi parce que les ATOM étaient chez lui, parce qu’un tiers du stake a consenti à s’arrêter, et parce qu’un correctif très étroit pouvait être écrit. Rien n’indique qu’il puisse ou doive répéter l’opération à chaque incident d’une app-chain.

Transformer chaque crise périphérique en halt central créerait un aléa moral. Les chaînes filles pourraient relâcher leur gouvernance en comptant sur un sauvetage. Les validateurs du Hub porteraient un risque politique croissant. Les utilisateurs verraient le temps de bloc comme une variable discrétionnaire. L’exception doit rester une exception, documentée comme telle.

Ce que la proposition devra trancher, concrètement

Le texte attendu ne pourra pas se contenter d’un slogan de solidarité. Il devra nommer une destination, une méthode de répartition, un calendrier, et probablement un mécanisme de réclamation. Il devra aussi dire ce qu’il advient si d’autres ATOM encore gelés ailleurs reviennent plus tard. Sans cela, le coffre à six clés deviendra un objet politique permanent.

Les signataires ont déjà borné leur rôle. Ils n’investiront pas les fonds. Ils n’en feront pas un produit de rendement. Cette abstinence est un signal. Elle évite qu’un rendement opportuniste ne crée des ayants droit nouveaux au milieu d’une procédure de restitution.

Une affaire de confiance plus que de code

Les chiffres impressionnent : 1,73 million arrivés, 1,23 million isolés, une journée d’arrêt, six gardiens, trente contreparties alertées. Mais le vrai enjeu est plus simple. Les délégateurs doivent encore croire que leurs validateurs peuvent geler une chaîne pour une raison étroite, puis s’effacer derrière un vote. Les utilisateurs Neutron doivent encore croire qu’une partie du préjudice n’est pas définitivement partie en fumée.

Entre ces deux exigences, le récit officiel a le mérite de la sobriété. Pas de triomphalisme. Pas de miracle. Une poche sauvée, des flux perdus, un processus politique à ouvrir. C’est moins spectaculaire qu’un « hacker battu ». C’est plus fidèle à la réalité d’un graphe où l’argent circule plus vite que les comités.

Et maintenant

Les prochains jours diront si Neutron livre un compte rendu assez précis pour que le Hub vote sans improvisation. Ils diront aussi si d’autres chaînes parviennent à geler une fraction du butin de leur côté. Le succès du 23 septembre n’efface pas le 22. Il en limite seulement les dégâts visibles sur une adresse, à une hauteur de bloc, pour un actif précis.

Pour l’écosystème Cosmos, l’épisode restera comme un test de maturité. Pas celui des slogans sur l’interopérabilité. Celui, plus rude, de savoir qui s’arrête, qui signe, qui vote, et qui assume quand une chaîne voisine prend feu. Les 1,23 million d’ATOM sont derrière une porte à six clés. La clé politique, elle, n’a pas encore tourné.