Cronos și-a oprit întregul blockchain duminică pentru a izola un atac asupra protocolului de lending DeFi Tectonic, înghețând astfel fiecare poziție din rețea.

Tectonic permite utilizatorilor să depună criptomonede pentru ca alții să le poată împrumuta, contra unei garanții, câștigând dobândă în schimb. A fost primul protocol de acest gen lansat pe Cronos și rămâne de departe cel mai mare, deținând aproape jumătate din tot capitalul depus în aplicațiile DeFi ale rețelei. Următorul cel mai mare creditor din rețea, Mimas Finance, deține aproximativ 30.000 de dolari, conform DefiLlama.

Într-un tweet, Cronos a menționat că a „identificat un exploit” în Tectonic, adăugând că a oprit rețeaua Cronos și va oferi actualizări. O zi mai târziu, a confirmat că rețeaua era încă nefuncțională, afirmând că investighează „cu sprijinul echipelor de securitate din întreaga industrie”.

Cercetătorul onchain Weilin Li a descris-o ca fiind un „atac de manipulare a prețului de tip pump-and-borrow, în stil Mango Market”, o referință la exploitul de 100 de milioane de dolari de la Mango Markets din octombrie 2022. Prețul TONIC a crescut de 100 de ori în 20 de minute, a spus el, înainte ca atacatorul să împrumute împotriva acestuia.

Cauza principală, conform lui Li, a fost simplă: Tectonic a atribuit propriului token de guvernanță un factor de colateralizare de 20%, în ciuda lichidității foarte scăzute, permițând atacatorului să retragă o cincime dintr-o evaluare pe care piața nu ar fi putut-o susține niciodată. Lichiditatea TONIC se ridică la aproximativ 1,34 milioane de dolari, o sumă suficient de mică încât sume modeste să miște prețul brusc. El a estimat suma furată la 66 de milioane de dolari, apoi a revizuit-o la aproximativ 75 de milioane de dolari după ce a identificat o altă adresă controlată de atacator, care deținea 8 milioane de dolari. Firma de securitate PeckShield a ajuns la o cifră similară de aproximativ 74 de milioane de dolari.

Tectonic deținea aproximativ 121,7 milioane de dolari în depozite și 82,7 milioane de dolari în împrumuturi active cu puțin timp înainte de incident, conform DefiLlama, aproape jumătate din tot capitalul din Cronos DeFi. Până luni, această sumă scăzuse la aproximativ 3 milioane de dolari, o scădere de 97,5% în 30 de zile. O analiză onchain separată indică o sumă totală mult mai mare scoasă din pool-uri, de aproximativ 119,5 milioane de dolari, măsurând ieșirea brută în loc de profiturile atacatorului.

De ce s-a oprit rețeaua

Oprirea a funcționat, cel puțin în ceea ce privește limitarea. Doar aproximativ 6 milioane de dolari din profituri au ajuns pe Ethereum înainte ca producția de blocuri să se oprească, a spus Li, lăsând aproximativ 60 de milioane de dolari imobilizați pe un lanț care nu s-a mai mișcat de atunci.

O parte din sumă a fost plasată într-un pool de exchange descentralizat, ceea ce el a sugerat a fi o încercare de a evita plasarea pe lista neagră. Datele DefiLlama sunt în concordanță cu aceasta: cel mai mare exchange descentralizat de pe Cronos a înregistrat depozite de aproape 61 de milioane de dolari în aceleași 24 de ore, în timp ce deținerile DeFi din întreaga rețea au scăzut cu 22%.

Acest lucru a fost posibil deoarece Cronos rulează un set de validatori plafonat la 100, suficient de mic pentru a coordona o oprire rapidă. Compromisul este că și toate celelalte s-au oprit: împrumuturile deschise, tranzacțiile, plățile și pozițiile automate aparținând utilizatorilor care nu au interacționat niciodată cu Tectonic.

CEO-ul Crypto.com, Kris Marszalek, a declarat că exchange-ul și aplicația funcționau normal și că fondurile clienților erau în siguranță, promițând o analiză post-mortem. Tectonic a sfătuit deponenții să nu interacționeze cu protocolul până când nu va confirma că este sigur să o facă.

Li a numit-o al treilea atac de tip Mango în ultimele săptămâni, după unul pe Moonwell, unde manipularea tokenului ilichid MAMO a costat aproximativ 8,7 milioane de dolari, și un altul pe o piață Pendle reUSD care a declanșat lichidări de aproximativ 36 de milioane de dolari pe 25 august.

Nu este prima breșă a Tectonic. DefiLlama înregistrează două incidente anterioare pe protocol, ambele clasificate ca eșecuri de logică a protocolului: unul în februarie 2024, care a costat 250.000 de dolari, și altul în noiembrie 2024. Atacul de duminică este clasificat diferit, ca manipulare a oracolului realizată prin manipularea prețului spot, și estimează pierderea la 75 de milioane de dolari.

Nici Cronos, nici Tectonic nu au oferit un termen de repornire, nu au confirmat o cifră finală și nu au declarat dacă deponenții vor fi despăgubiți integral.