Cronos приостановил производство блоков 30 августа после обнаружения эксплойта, связанного с Tectonic, децентрализованным протоколом кредитования, работающим на блокчейне.
Резюме
- Валидаторы Cronos приостановили производство блоков после того, как Tectonic раскрыл эксплойт, затронувший его децентрализованный протокол кредитования.
- Исследователи оценивают, что было затронуто примерно 75 миллионов долларов, но Tectonic еще публично не подтвердил общие потери.
- Примерно 6 миллионов долларов достигли Ethereum до остановки, согласно анализу адресов исследователя Вейлина Ли в интернете.
- Crypto.com заявил, что его централизованное приложение и биржа оставались работоспособными, а средства клиентов там не пострадали.
- Cronos и Tectonic не объявили график перезапуска, план восстановления или структуру компенсации пользователям.
Независимый исследователь Вейлин Ли оценил, что было затронуто примерно 75 миллионов долларов. Однако ни Cronos, ни Tectonic не подтвердили причину или общую сумму потерь по состоянию на 31 августа.
Большинство идентифицированных активов, по-видимому, остались на Cronos после остановки сети валидаторами. Не было объявлено ни о времени перезапуска, ни о плане восстановления, ни о структуре компенсации.
Эксплойт Tectonic, как сообщается, использовал завышенное обеспечение TONIC
Ли объяснил инцидент обращением с TONIC, управляющим токеном Tectonic, как с обеспечением. Сообщается, что TONIC имел 20% коэффициент обеспечения, несмотря на ограниченную ликвидность рынка.
Согласно его первоначальному анализу, злоумышленник увеличил рыночную цену TONIC примерно в 100 раз за около 20 минут. Затем злоумышленник предоставил завышенные токены в качестве обеспечения и занял другие активы у Tectonic.
Ли описал инцидент как атаку "в стиле Mango-market" по схеме "накачка и заимствование". Эта характеристика остается независимой оценкой, поскольку Tectonic не опубликовал собственный технический разбор.
Сообщаемая схема напоминает более ранние атаки, когда низколиквидному обеспечению присваивалась завышенная оценка. Как сообщал crypto.news, подобная атака на цену обеспечения истощила Moonwell примерно на 8,7 миллиона долларов незадолго до инцидента с Tectonic.
Остановка Cronos сохранила большинство идентифицированных средств в сети
Ли первоначально оценил затронутые активы примерно в 66 миллионов долларов. Он сказал, что около 6 миллионов долларов перешли в Ethereum до того, как валидаторы Cronos остановили производство блоков, в то время как примерно 60 миллионов долларов остались на адресе Cronos.
Позже исследователь идентифицировал другой адрес, содержащий примерно 8 миллионов долларов, что повысило его совокупную оценку до примерно 75 миллионов долларов. Эти цифры остаются оценками, основанными на атрибуции адресов и оценке токенов.
Тот факт, что активы остаются на Cronos, не означает, что они были возвращены. Перезапуск сети может позволить злоумышленнику возобновить перемещение средств, если валидаторы, разработчики протокола или другие участники не введут ограничения.
Cronos и Tectonic не заявили, намерены ли они заморозить идентифицированные адреса, отменить транзакции или вести переговоры со злоумышленником. Любое вмешательство также может поднять вопросы об управлении сетью и окончательности транзакций.
Crypto.com заявляет, что его биржа не пострадала
Генеральный директор Crypto.com Крис Маржалек заявил, что приложение компании и централизованная биржа продолжали работать нормально. "Все средства в безопасности", - написал он, имея в виду активы, хранящиеся через эти сервисы Crypto.com.
Это заявление не распространяется на средства, внесенные непосредственно в Tectonic. Crypto.com и Cronos тесно связаны, но Tectonic работает как отдельное децентрализованное кредитное приложение в сети.
Маршалек заявил, что служба безопасности Crypto.com помогает в расследовании. Он также пообещал полный посмертный анализ, хотя дата публикации не была указана.
Инцидент иллюстрирует разницу между балансами централизованных бирж, активами, хранящимися в блокчейне, и средствами, внесенными в DeFi-контракты. Сбой, затрагивающий один уровень, не обязательно ставит под угрозу каждый сервис, связанный с той же экосистемой.
Перезапуск Cronos зависит от сдерживания и учета
Cronos должен определить, могут ли идентифицированные адреса безопасно перемещать средства, прежде чем возобновить производство блоков. Валидаторам также необходимо будет оценить, оставил ли злоумышленник безнадежные долги на кредитных рынках Tectonic.
Tectonic отдельно предупредил пользователей не взаимодействовать с протоколом, пока не будет подтверждено, что это безопасно. Депозиты, погашения, ликвидации и выводы средств остаются затронутыми, пока блокчейн остановлен.
Технический обзор должен установить, как Tectonic оценивал залог TONIC и включал ли его источник цен достаточные меры защиты от манипуляций. Crypto.news ранее объяснял, как слабые оракулы могут подвергать кредитные протоколы манипулированию ценами залога.
Инцидент также напоминает манипуляцию на Mango Markets, где завышенный залог в виде управленческого токена обеспечивал кредиты под более ликвидные активы.
Следующие подтвержденные обновления должны касаться перезапуска сети, окончательной суммы активов, непогашенного безнадежного долга Tectonic и возможного обращения с пострадавшими вкладчиками. Проверенное движение рынка CRO или TONIC не было включено, поскольку надежная реакция цен на конкретное событие не была установлена.
