У неділю Cronos вимкнув свій блокчейн, щоб стримати атаку на протокол DeFi-кредитування Tectonic, заморозивши всі позиції в мережі.

Tectonic дозволяє користувачам вносити криптовалюту, щоб інші могли позичати під заставу, отримуючи відсотки взамін. Це був перший такий протокол, запущений на Cronos, і він залишається найбільшим, утримуючи майже половину всього капіталу, депонованого в DeFi-додатках мережі. Наступний за розміром кредитор у мережі, Mimas Finance, утримує близько 30 000 доларів, згідно з DefiLlama.

У твіті Cronos зазначив, що "виявив експлойт" у Tectonic, додавши, що він зупинив мережу Cronos і надаватиме оновлення. Через день він підтвердив, що мережа все ще не працює, заявивши, що проводить розслідування "за підтримки команд безпеки з усієї галузі".

Ончейн-дослідник Вейлін Лі (Weilin Li) описав це як "атаку з маніпуляцією ціною за схемою 'накачай та позич' у стилі Mango Markets", посилаючись на експлойт Mango Markets на 100 мільйонів доларів у жовтні 2022 року. За його словами, ціна TONIC зросла в 100 разів протягом 20 хвилин, перш ніж зловмисник позичив під нього.

Основна причина, за словами Лі, була проста: Tectonic призначив власному токену управління 20% коефіцієнт забезпечення, незважаючи на дуже низьку ліквідність, дозволивши зловмиснику отримати п’яту частину оцінки, яку ринок ніколи не міг би підтримати. Ліквідність TONIC становить близько 1,34 мільйона доларів, що достатньо мало для різкого руху ціни від скромних сум. Він оцінив викрадені кошти у 66 мільйонів доларів, а потім переглянув цю суму до близько 75 мільйонів доларів після ідентифікації ще однієї адреси, контрольованої зловмисником, що містила 8 мільйонів доларів. Охоронна компанія PeckShield дійшла схожої цифри – близько 74 мільйонів доларів.

Tectonic утримував близько 121,7 мільйона доларів у депозитах та 82,7 мільйона доларів в активних позиках незадовго до інциденту, згідно з DefiLlama, що становить майже половину всього капіталу в Cronos DeFi. До понеділка ця сума впала до приблизно 3 мільйонів доларів, що є падінням на 97,5% за 30 днів. Окремий ончейн-аналіз вказує на значно більшу загальну суму, виведену з пулів, близько 119,5 мільйона доларів, вимірюючи валовий відтік замість прибутку зловмисника.

Чому мережа замовкла

Зупинка спрацювала, принаймні з точки зору стримування. Лише близько 6 мільйонів доларів з викрадених коштів досягли Ethereum до припинення генерації блоків, сказав Лі, залишивши приблизно 60 мільйонів доларів іммобілізованими в мережі, яка з того часу не рухалася.

Частина з них була розміщена в пулі децентралізованої біржі, що, за його припущенням, було спробою уникнути чорного списку. Дані DefiLlama відповідають цьому: найбільша децентралізована біржа на Cronos отримала близько 61 мільйона доларів депозитів протягом тих самих 24 годин, тоді як DeFi-активи в усій мережі впали на 22%.

Це стало можливим, оскільки Cronos має обмежений набір валідаторів з 100 одиниць, що достатньо мало для швидкої координації відключення. Компромісом є те, що зупинилося і все інше: відкриті позики, угоди, виплати та автоматизовані позиції, що належать користувачам, які ніколи не взаємодіяли з Tectonic.

Генеральний директор Crypto.com Кріс Маршалек (Kris Marszalek) заявив, що біржа та додаток працюють нормально, а кошти клієнтів у безпеці, обіцяючи провести посмертний аналіз. Tectonic порадив вкладникам не взаємодіяти з протоколом, доки він не підтвердить, що це безпечно.

Лі назвав це третьою атакою у стилі Mango за останні тижні, після атаки на Moonwell, де маніпуляція низьколіквідним токеном MAMO коштувала приблизно 8,7 мільйона доларів, і ще однієї на ринку Pendle reUSD, яка спричинила ліквідації приблизно на 36 мільйонів доларів 25 серпня.

Це не перший злам Tectonic. DefiLlama фіксує два попередні інциденти на протоколі, обидва класифіковані як збої в логіці протоколу: один у лютому 2024 року, який коштував 250 000 доларів, та ще один у листопаді 2024 року. Атаку в неділю вона класифікує інакше, як маніпуляцію оракулом, здійснену через маніпуляцію спотовою ціною, і оцінює збитки в 75 мільйонів доларів.

Ні Cronos, ні Tectonic не надали термінів перезапуску, не підтвердили остаточну цифру і не повідомили, чи будуть вкладникам повністю відшкодовані кошти.