Cronos: blockchain zatrzymany po exploicie Tectonic na 75 mln dolarów

Cronos, blockchain powiązany z giełdą Crypto.com, w niedzielę całkowicie wstrzymał produkcję bloków, aby powstrzymać skutki ataku na Tectonic – największy protokół pożyczkowy w tej sieci. Badacz on-chain Weilin Li oszacował straty na około 75 mln dolarów, z czego jedynie 6 mln dolarów zdążyło opuścić sieć przed jej zatrzymaniem. W poniedziałek łańcuch pozostawał unieruchomiony, choć aplikacja i giełda Crypto.com działały normalnie.

Mechanizm ataku: 100-krotny wzrost kursu TONIC w 20 minut

Atak miał charakter manipulacji cenowej typu „pump-and-borrow”, podobnej do exploitu Mango Markets z października 2022 roku. W ciągu 20 minut cena tokena TONIC – natywnego tokena zarządzania Tectonic – wzrosła stukrotnie. Przy płynności rynkowej tokena wynoszącej zaledwie 1,34 mln dolarów, relatywnie niewielkie kwoty wystarczyły, by gwałtownie windować wycenę.

Kluczowym błędem protokołu było przypisanie TONIC aż 20% współczynnika zabezpieczenia (collateral factor) mimo skrajnie płytkiego rynku. Atakujący wykorzystał sztucznie zawyżoną wartość tokena jako zastaw, by pożyczyć aktywa o realnej wartości rynkowej. Według analizy Li, główny adres atakującego przejął około 66 mln dolarów, a kolejne 8 mln dolarów znaleziono na powiązanym adresie, co podniosło łączny szacunek strat do 75 mln dolarów. Firma ochroniarska PeckShield potwierdziła zbliżoną kwotę – około 74 mln dolarów.

Tectonic: połowa DeFi na Cronosie zniknęła w jeden dzień

Tectonic był nie tylko pierwszym, ale i zdecydowanie największym protokołem pożyczkowym w ekosystemie Cronos. Tuż przed incydentem przechowywał 121,7 mln dolarów w depozytach i 82,7 mln dolarów w aktywnych pożyczkach – blisko połowę całego kapitału zgromadzonego w aplikacjach DeFi tej sieci. W poniedziałek wartość ta skurczyła się do około 3 mln dolarów, co oznacza spadek o 97,5% w ciągu 30 dni.

Odrębna analiza on-chain wskazuje, że całkowity odpływ środków z pul Tectonic mógł sięgnąć nawet 119,5 mln dolarów – ta wyższa liczba mierzy jednak przepływy brutto, a nie bezpośrednie zyski atakującego. Największa zdecentralizowana giełda na Cronos odnotowała w tym samym czasie napływ blisko 61 mln dolarów w depozytach, co sugeruje, że część środków została przeparkowana do pul płynności, by utrudnić ich zamrożenie.

Zatrzymany łańcuch: skuteczna blokada za cenę paraliżu

Decyzja o wstrzymaniu całego blockchaina okazała się skuteczna w ograniczeniu wypływu środków. Z około 75 mln dolarów przejętych przez atakującego jedynie 6 mln dolarów zdążyło trafić do sieci Ethereum przed zatrzymaniem bloków. Pozostałe 60 mln dolarów utknęło na nieruchomym łańcuchu. Część z nich atakujący zdeponował w puli zdecentralizowanej giełdy – zdaniem Li była to próba uniknięcia czarnej listy.

Możliwość szybkiego skoordynowania wyłączenia sieci wynika z architektury Cronos, który działa na zamkniętym zestawie zaledwie 100 walidatorów. Ceną za tę kontrolę był jednak całkowity paraliż: zamrożone zostały wszystkie otwarte pożyczki, transakcje, wypłaty i zautomatyzowane pozycje użytkowników, którzy nigdy nie korzystali z Tectonic.

Dyrektor generalny Crypto.com Kris Marszalek zapewnił, że giełda i aplikacja działają normalnie, a środki klientów są bezpieczne. Zapowiedział też publikację szczegółowej analizy po zakończeniu dochodzenia. Tectonic ostrzegło deponentów, by nie wchodzili w interakcję z protokołem do odwołania.

„Zidentyfikowaliśmy exploit w Tectonic. Sieć Cronos została zatrzymana” – Cronos Network, 30 sierpnia 2026

Nie pierwszy incydent i szerszy kontekst ataków

Jak donosi CoinDesk, to już trzeci w ostatnich tygodniach atak w stylu Mango Markets. Wcześniej manipulacja niepłynnym tokenem MAMO kosztowała protokół Moonwell około 8,7 mln dolarów, a 25 sierpnia exploit rynku reUSD na Pendle wywołał likwidacje na około 36 mln dolarów.

Dla samego Tectonic nie jest to pierwsze naruszenie bezpieczeństwa. Serwis DefiLlama odnotowuje dwa wcześniejsze incydenty zaklasyfikowane jako błędy logiki protokołu: w lutym 2024 roku ze stratą 250 tys. dolarów oraz w listopadzie 2024 roku. Niedzielny atak sklasyfikowano inaczej – jako manipulację wyrocznią poprzez manipulację ceną spot. Ani Cronos, ani Tectonic nie podali dotychczas harmonogramu wznowienia sieci ani nie potwierdzili, czy deponenci otrzymają rekompensatę.