Cronos hat die Blockproduktion am 30. August gestoppt, nachdem ein Exploit im Zusammenhang mit Tectonic, einem dezentralen Kreditprotokoll, das auf der Blockchain läuft, entdeckt wurde.
Zusammenfassung
- Cronos-Validatoren stoppten die Blockproduktion, nachdem Tectonic einen Exploit offenlegte, der sein dezentrales Kreditprotokoll betraf.
- Forscher schätzen, dass etwa 75 Millionen Dollar betroffen waren, aber Tectonic hat die Gesamtverluste noch nicht öffentlich bestätigt.
- Etwa 6 Millionen Dollar erreichten Ethereum vor dem Stopp, laut der Online-Adressanalyse des Forschers Weilin Li.
- Crypto.com sagte, dass seine zentralisierte App und Börse betriebsbereit blieben und Kundengelder dort durchgehend nicht betroffen waren.
- Cronos und Tectonic haben keinen Neustartzeitplan, Wiederherstellungsplan oder Benutzerentschädigungsrahmen angekündigt.
Der unabhängige Forscher Weilin Li schätzte, dass etwa 75 Millionen Dollar betroffen waren. Weder Cronos noch Tectonic hatten jedoch bis zum 31. August die Ursache oder den Gesamtverlust bestätigt.
Der Großteil der identifizierten Vermögenswerte schien nach dem Stopp der Validatoren weiterhin auf Cronos zu verbleiben. Es wurde kein Neustartzeitpunkt, Wiederherstellungsplan oder Entschädigungsrahmen angekündigt.
Tectonic-Exploit nutzte angeblich aufgeblähte TONIC-Sicherheiten
Li führte den Vorfall auf die Behandlung von TONIC, dem Governance-Token von Tectonic, als Sicherheit zurück. TONIC hatte Berichten zufolge einen Sicherheitenfaktor von 20%, trotz begrenzter Marktliquidität.
Laut seiner ersten Analyse erhöhte der Angreifer den Marktpreis von TONIC über etwa 20 Minuten um das Hundertfache. Der Angreifer stellte dann die aufgeblähten Token als Sicherheit bereit und lieh andere Vermögenswerte von Tectonic.
Li beschrieb den Vorfall als einen "Mango-Markt-Stil"-Pump-and-Borrow-Angriff. Diese Charakterisierung bleibt eine unabhängige Einschätzung, da Tectonic keine eigene technische Nachbesprechung veröffentlicht hat.
Das gemeldete Muster ähnelt früheren Angriffen, bei denen dünn gehandelte Sicherheiten mit einer überhöhten Bewertung versehen wurden. Wie crypto.news berichtete, hat ein ähnlicher Sicherheitenpreisangriff Moonwell um geschätzte 8,7 Millionen Dollar kurz vor dem Tectonic-Vorfall entleert.
Cronos-Stopp hielt die meisten identifizierten Gelder onchain
Li bezifferte die betroffenen Vermögenswerte zunächst auf etwa 66 Millionen Dollar. Er sagte, dass etwa 6 Millionen Dollar vor dem Stopp der Blockproduktion durch Cronos-Validatoren nach Ethereum gelangten, während etwa 60 Millionen Dollar auf einer Cronos-Adresse verblieben.
Der Forscher identifizierte später eine weitere Adresse, die etwa 8 Millionen Dollar hält, was seine kombinierte Schätzung auf etwa 75 Millionen Dollar erhöhte. Diese Zahlen bleiben Schätzungen, die auf Adresszuordnung und Token-Bewertungen basieren.
Die Tatsache, dass Vermögenswerte auf Cronos verbleiben, bedeutet nicht, dass sie wiederhergestellt wurden. Ein Netzwerk-Neustart könnte es dem Angreifer ermöglichen, Gelder weiter zu bewegen, es sei denn, Validatoren, Protokollentwickler oder andere Teilnehmer führen Beschränkungen ein.
Cronos und Tectonic haben nicht gesagt, ob sie beabsichtigen, die identifizierten Adressen einzufrieren, Transaktionen rückgängig zu machen oder mit dem Angreifer zu verhandeln. Jede Intervention könnte auch Fragen zur Netzwerk-Governance und Transaktionsfinalität aufwerfen.
Crypto.com sagt, seine Börse sei nicht betroffen
Crypto.com-CEO Kris Marszalek sagte, dass die App und die zentralisierte Börse des Unternehmens weiterhin normal funktionierten. "Alle Gelder sind sicher", schrieb er und bezog sich dabei auf Vermögenswerte, die über diese Crypto.com-Dienste gehalten werden.
Diese Aussage deckt keine Gelder ab, die direkt bei Tectonic eingezahlt wurden. Crypto.com und Cronos sind eng verbunden, aber Tectonic fungiert als separate dezentrale Kreditvergabeprojekt im Netzwerk.
Marszalek sagte, dass das Sicherheitsteam von Crypto.com bei den Ermittlungen hilft. Er versprach auch eine vollständige Nachbesprechung, obwohl kein Veröffentlichungsdatum angegeben wurde.
Der Vorfall verdeutlicht den Unterschied zwischen zentralen Börsenguthaben, Blockchain-verwahrten Vermögenswerten und Geldern, die in DeFi-Verträgen eingezahlt sind. Ein Ausfall, der eine Ebene betrifft, gefährdet nicht unbedingt jeden Dienst, der mit demselben Ökosystem verbunden ist.
Der Neustart von Cronos hängt von Eindämmung und Abrechnung ab
Cronos muss feststellen, ob die identifizierten Adressen Gelder sicher bewegen können, bevor die Blockproduktion wieder aufgenommen wird. Validatoren müssen auch bewerten, ob der Angreifer faule Kredite in den Kreditmärkten von Tectonic hinterlassen hat.
Tectonic hat separat gewarnt, dass Benutzer nicht mit dem Protokoll interagieren sollen, bis bestätigt ist, dass dies sicher ist. Einzahlungen, Rückzahlungen, Liquidationen und Abhebungen bleiben betroffen, während die Blockchain angehalten ist.
Eine technische Überprüfung muss feststellen, wie Tectonic TONIC-Sicherheiten bewertet hat und ob seine Preisquelle ausreichenden Schutz gegen Manipulation bot. Crypto.news hat zuvor erklärt, wie schwache Orakel Kreditvergabeprotokolle manipulierten Sicherheitenpreisen aussetzen können.
Der Vorfall ähnelt auch der Mango-Markets-Manipulation, bei der aufgeblähte Governance-Token-Sicherheiten Kredite gegen liquider Vermögenswerte unterstützten.
Die nächsten bestätigten Updates sollten den Netzwerk-Neustart, die endgültige Vermögenssumme, die ausstehenden faulen Kredite von Tectonic und die mögliche Behandlung betroffener Einzahler behandeln. Es wurde keine verifizierte Marktbewegung bei CRO oder TONIC einbezogen, da eine zuverlässige ereignisspezifische Preisreaktion nicht festgestellt worden war.
