RedStone a declarat că exploatarea estimată la 75 de milioane de dolari a Tectonic a rezultat din controale slabe ale garanțiilor, mai degrabă decât dintr-un oracol inexact, după ce prețul raportat al TONIC a crescut de aproximativ 100 de ori în 20 de minute.
Co-fondatorul RedStone, Marcin Kazmierczak, a declarat pentru crypto.news că oracolul a raportat cu exactitate prețul TONIC în pool-ul pe care îl monitoriza, dar Tectonic ar fi acceptat lectura fără să verifice dacă tokenul putea fi vândut la acea evaluare într-un volum semnificativ.
Validatorii Cronos au oprit producția de blocuri pe 30 august, după ce Tectonic a dezvăluit un incident care implica protocolul de creditare descentralizat. Cercetătorul independent Weilin Li a estimat că aproximativ 75 de milioane de dolari au fost afectați, deși nici Tectonic, nici Cronos nu au confirmat pierderea finală.
Conform analizei inițiale a lui Li, atacatorul a împins prețul TONIC de aproximativ 100 de ori mai sus în aproximativ 20 de minute. Tokenurile umflate au fost apoi furnizate la Tectonic ca garanție, permițând atacatorului să împrumute active cu lichiditate mai bine stabilită.
TONIC avea, se pare, un factor de colateral de 20%, ceea ce înseamnă că protocolul permitea utilizatorilor să împrumute active în valoare de până la o cincime din valoarea raportată a colateralului. Li a identificat aproximativ 364,6 trilioane TONIC în poziție, care ar fi avut nevoie de o valoare raportată de aproximativ 375 de milioane de dolari pentru a susține un împrumut de aproximativ 75 de milioane de dolari.
Kazmierczak a respins ideea că oracolul în sine ar fi produs neapărat date incorecte, făcând o distincție între observarea prețului de piață disponibil și decizia dacă acel preț este sigur pentru un protocol de creditare.
„Oracolul nu a greșit. A raportat cu exactitate prețul TONIC în pool-ul pe care îl citea în acel moment”, a spus el.
Un token tranzacționat slab poate înregistra un preț spot ridicat după un număr limitat de tranzacții, chiar și atunci când piața nu are suficienți cumpărători pentru a susține vânzări mari la același nivel. Potrivit lui Kazmierczak, eșecul Tectonic a fost că a acceptat prețul manipulat ca garanție fără a testa cât TONIC putea fi vândut efectiv înainte ca valoarea sa să se prăbușească.
„Raportarea unui preț și validarea faptului că un preț este sigur pentru a acorda împrumuturi sunt două sarcini diferite, iar designul Tectonic le-a confundat.”
Incidentul inițial Tectonic a lăsat majoritatea activelor identificate pe Cronos atunci când validatorii au oprit lanțul. Li a estimat că aproximativ 6 milioane de dolari au ajuns pe Ethereum, în timp ce aproximativ 60 de milioane de dolari au rămas la o adresă Cronos. O a doua adresă care deținea aproape 8 milioane de dolari a ridicat estimarea sa combinată la aproximativ 75 de milioane de dolari.
Fondurile rămase la adresele identificate nu ar trebui tratate ca recuperate decât dacă rețeaua, protocolul sau utilizatorii afectați le recâștigă controlul. Cronos și Tectonic nu au confirmat atribuirea adresei sau estimările activelor lui Li la momentul publicării analizei preliminare.
Printre măsurile de siguranță disponibile pentru protocoalele de creditare, Kazmierczak a spus că limitele de împrumut legate de lichiditatea executabilă ar fi oferit cea mai puternică protecție. O astfel de limită restricționează suma totală pe care utilizatorii o pot împrumuta împotriva unui activ, pe baza cantității de colateral care ar putea fi vândută în mod realist fără a provoca o scădere bruscă a prețului.
„Chiar dacă prețul raportat al TONIC se mișcă de 100 de ori, o limită de împrumut dimensionată la ceea ce ar putea fi ieșit în mod realist fără a prăbuși piața limitează daunele, indiferent de ceea ce spune feedul de preț”, a spus el.
Factorii dinamici de colateral, limitele de impact asupra prețului și cerințele minime de adâncime a pieței ar fi putut reduce, de asemenea, expunerea Tectonic, potrivit lui Kazmierczak. Cu toate acestea, el a susținut că o limită de împrumut setată corespunzător poate conține pierderile chiar și atunci când un alt parametru de risc eșuează.
Tectonic, se pare, nu a avut aceste protecții, a spus el, permițând unui token cu lichiditate limitată să susțină împrumuturile pe baza unei evaluări temporar umflate. Nici Tectonic, nici Cronos nu au lansat o analiză tehnică post-mortem care să confirme ce controale erau active la momentul incidentului.
Kazmierczak a avertizat, de asemenea, împotriva tratării unei ferestre mai lungi de preț mediu ponderat în funcție de timp (TWAP) ca o soluție completă. Un TWAP calculează un preț mediu pe o anumită perioadă, făcând mișcările scurte ale pieței mai puțin influente decât ar fi sub un feed de preț spot.
Deși ferestrele mai lungi pot filtra modificările de preț de scurtă durată, Kazmierczak a spus că protocoalele trebuie să le seteze în funcție de lichiditatea și istoricul de tranzacționare al fiecărui activ. În evaluarea sa, o creștere de 100 de ori în 20 de minute ar fi trebuit să ridice întrebări despre eligibilitatea TONIC ca garanție, mai degrabă decât să provoace o dezbatere asupra perioadei medii ideale.
„O mișcare precum cea a TONIC, de 100 de ori în 20 de minute, nu este un eveniment de volatilitate pe care o fereastră TWAP mai largă l-ar aplana. Este un semnal că activul nu ar fi trebuit să fie utilizabil ca garanție în primul rând, la o dimensiune semnificativă.”
Atacul raportat al Tectonic a urmat unei exploatări Moonwell de 8,7 milioane de dolari pe Base, pe 27 august. Firmele de securitate au declarat că atacatorul Moonwell a manipulat valoarea colateralului tokenului MAMO relativ ilichid înainte de a împrumuta cbBTC de pe piața mBTC a protocolului.
În urma incidentului, Moonwell a redus limitele de împrumut pe piețele sale principale Base la 1 wei, prevenind efectiv noile împrumuturi. De asemenea, a redus limitele de aprovizionare pentru MAMO și WELL la 1 wei în timp ce investiga tranzacțiile.
Kazmierczak a comparat Tectonic cu Mango Markets și Moola Market, două protocoale vizate prin variații de prețuri umflate ale colateralului în octombrie 2022. Mango Markets a pierdut peste 100 de milioane de dolari după ce Avraham Eisenberg a crescut valoarea pozițiilor legate de tokenul MNGO cu lichiditate redusă și a împrumutat alte active împotriva lor.
Cazul Mango oferă, de asemenea, un exemplu juridic american despre cât de dificil poate fi să aplici legile existente privind frauda și mărfurile sistemelor automate de creditare. Un juriu din Manhattan l-a condamnat pe Eisenberg în 2024 pentru fraudă cu mărfuri, manipulare de mărfuri și fraudă electronică, dar un judecător federal a anulat condamnările în mai 2025 din cauza problemelor de jurisdicție și a dovezilor insuficiente care susțineau acuzația de fraudă electronică.
Potrivit lui Kazmierczak, protocoalele se expun în mod repetat la astfel de atacuri, deoarece listarea unui token de guvernanță nativ ca garanție poate crește utilizarea acestuia și poate ajuta la atragerea depozitelor. Costul setărilor slabe poate rămâne ascuns până când cineva testează cum răspunde piața de creditare la un preț manipulat al tokenului.
El a plasat responsabilitatea principală pe curatori de risc și alți furnizori de servicii însărcinați cu setarea și menținerea parametrilor de colateral, lucrând alături de dezvoltatorii de protocol și furnizorii de oracole. Participanții la guvernanță pot aproba listarea unui activ, a spus Kazmierczak, dar mulți votanți nu au cunoștințele de structură a pieței necesare pentru a judeca riscurile de lichiditate și impactul asupra prețului.
Cronos a repornit de atunci operațiunile de rețea după ce validatorii au restaurat blockchain-ul la un punct anterior incidentului Tectonic. Rețeaua a descris oprirea ca o acțiune de urgență convenită prin consensul validatorilor pentru a proteja utilizatorii.
Restaurarea stării anterioare a lanțului a eliminat tranzacțiile înregistrate după punctul de revenire ales din versiunea repornită a Cronos. CEO-ul Crypto.com, Kris Marszalek, a declarat că aplicația și bursa centralizată a companiei au continuat să funcționeze în timpul opririi și că fondurile deținute prin aceste servicii nu au fost afectate.
Tectonic le-a cerut utilizatorilor să nu interacționeze cu protocolul de creditare în timp ce echipa sa investiga incidentul. Cronos nu a publicat procesul tehnic folosit de validatori pentru a selecta și aproba starea restaurată, în timp ce analiza post-mortem promisă este de așteptat să abordeze atacul, oprirea de urgență și repornirea ulterioară.
