Cronos зупинив виробництво блоків у неділю після експлойту в Tectonic, найбільшому кредитному протоколі в мережі.
Ончейн-дослідник оцінив збитки приблизно в 75 мільйонів доларів, причому близько 6 мільйонів доларів було переведено через міст до зупинки.
Ланцюг все ще був зупинений у понеділок, повідомив Cronos, хоча додаток та біржа Crypto.com не постраждали.
Cronos вимкнув весь свій блокчейн у неділю, щоб стримати атаку на DeFi кредитний протокол Tectonic, заморозивши всі позиції в мережі.
Tectonic дозволяє користувачам вносити криптовалюту, щоб інші могли позичати під заставу, отримуючи відсотки. Це був перший такий протокол, запущений на Cronos, і він залишається найбільшим, утримуючи майже половину всього капіталу, внесеного в DeFi-додатки мережі. Наступний за розміром кредитор у ланцюзі, Mimas Finance, тримає близько 30 000 доларів, згідно з DefiLlama.
Ми виявили експлойт у Tectonic.
Мережа Cronos була зупинена, і ми надамо оновлення тут
У твіті Cronos зазначив, що "виявив експлойт" у Tectonic, додавши, що зупинив мережу Cronos і надасть оновлення. Через день він підтвердив, що ланцюг все ще не працює, заявивши, що проводить розслідування "за підтримки команд безпеки з усієї галузі".
Ончейн-дослідник Вейлін Лі описав це як "атаку з маніпулюванням ціною в стилі Mango-market pump-and-borrow", посилаючись на експлойт Mango Markets на 100 мільйонів доларів у жовтні 2022 року. Ціна TONIC зросла в 100 разів протягом 20 хвилин, сказав він, перш ніж атакуючий позичив під неї.
Основна причина, за словами Лі, була простою: Tectonic призначив власному управлінському токену 20% коефіцієнт застави, незважаючи на дуже низьку ліквідність, що дозволило атакуючому отримати п'яту частину оцінки, яку ринок ніколи не міг підтримати. Ліквідність TONIC становить близько 1,34 мільйона доларів, що достатньо мало, щоб невеликі суми різко змінювали ціну. Він оцінив здобич у 66 мільйонів доларів, а потім переглянув її до приблизно 75 мільйонів доларів після виявлення додаткової адреси, контрольованої атакуючим, на якій зберігалося 8 мільйонів доларів. Фірма з безпеки PeckShield дійшла до подібної цифри приблизно в 74 мільйони доларів.
Tectonic тримав близько $121,7 мільйона депозитів та $82,7 мільйона активних кредитів незадовго до інциденту, згідно з DefiLlama, що становить майже половину всього капіталу в Cronos DeFi. До понеділка це скоротилося приблизно до $3 мільйонів, що становить падіння на 97,5% за 30 днів. Окремий ончейн-аналіз оцінює загальну суму, виведену з пулів, значно вище — близько $119,5 мільйона, вимірюючи валовий відтік, а не прибуток атакуючого.
Чому ланцюг згас
Зупинка спрацювала, принаймні з точки зору стримування. Лише близько $6 мільйонів з виручки досягли Ethereum до зупинки виробництва блоків, сказав Лі, залишивши приблизно $60 мільйонів знерухомленими на ланцюзі, який з тих пір не рухався.
Частина з них була розміщена в пулі децентралізованої біржі, що, на його думку, було спробою уникнути чорного списку. Дані DefiLlama узгоджуються з цим: найбільша децентралізована біржа на Cronos отримала близько $61 мільйона депозитів за ті ж 24 години, тоді як DeFi-активи в цілому по ланцюгу впали на 22%.
Це стало можливим, оскільки Cronos працює з обмеженим набором валідаторів зі 100, що достатньо мало для швидкої координації зупинки. Ціною стало те, що все інше також зупинилося: відкриті кредити, транзакції, виплати та автоматизовані позиції, що належали користувачам, які ніколи не торкалися Tectonic.
Генеральний директор Crypto.com Кріс Маршалек заявив, що біржа та застосунок працюють нормально, а кошти клієнтів у безпеці, пообіцявши провести розслідування. Tectonic повідомив вкладникам не взаємодіяти з протоколом, поки не буде підтверджено, що це безпечно.
Стався витік безпеки в кредитному протоколі Tectonic на Cronos. Команда Cronos розслідує інцидент за допомогою служби безпеки https://t.co/JNeHyErmqH. https://t.co/JNeHyErmqH застосунок і біржа не постраждали та працюють у звичайному режимі. Усі кошти в безпеці.
Лі назвав це третьою атакою в стилі Mango за останні тижні, після атаки на Moonwell, де маніпуляції з неліквідним токеном MAMO коштували приблизно 8,7 мільйона доларів, та ще однієї на ринку Pendle reUSD, що спричинило ліквідації на суму близько 36 мільйонів доларів 25 серпня.
Це не перший злом Tectonic. DefiLlama фіксує два попередні інциденти з протоколом, обидва класифіковані як логічні помилки протоколу: один у лютому 2024 року, що коштував 250 000 доларів, та інший у листопаді 2024 року. Він класифікує недільну атаку інакше, як маніпуляцію оракулом, здійснену через маніпуляцію спотовою ціною, і оцінює збитки у 75 мільйонів доларів.
Ні Cronos, ні Tectonic не надали графік перезапуску, не підтвердили остаточну суму та не повідомили, чи будуть вкладники повністю компенсовані.
