Cronos повністю зупинив свій блокчейн, щоб зупинити експлойт на 75 мільйонів доларів

Cronos, ланцюг першого рівня, побудований Crypto.com, припинив виробництво блоків у неділю, 30 серпня. Зловмисник щойно вивів десятки мільйонів доларів з Tectonic, найбільшого протоколу кредитування мережі, і валідатори відключили весь ланцюг, щоб зупинити кровотечу. Через два дні сам експлойт став майже меншою з двох історій. Більша історія стосується того, що означає, що «децентралізований» блокчейн можна вимкнути.

Cronos підтвердив інцидент на X, заявивши, що виявила експлойт в Tectonic та зупинила мережу на час розслідування. Tectonic, яка до атаки мала приблизно 121,7 мільйона доларів депозитів та 82,7 мільйона доларів кредитів, що становить майже половину всіх заблокованих коштів у Cronos DeFi, порадила користувачам триматися подалі від протоколу, доки не зможе підтвердити безпеку. До понеділка панель інструментів DefiLlama показала, що загальна вартість заблокованих активів Tectonic впала приблизно до 3 мільйонів доларів.

__КОРОТКИЙ_ТОКЕН_0__

Як це зробив нападник?

Механізм не був зламаним смарт-контрактом. Це був неправильно оцінений параметр ризику. Дослідник блокчейну Вейлін Лі виклав послідовність у X-треді: TONIC, власний токен управління Tectonic, торгувався лише з ліквідністю близько 1,34 мільйона доларів та обсягом приблизно 11 000 доларів на день, і все ж протокол все ще дозволяв людям позичати кошти під нього з коефіцієнтом забезпечення 20%. Приблизно за 20 хвилин зловмисник підняв ціну TONIC приблизно в 100 разів, вніс завищені токени як заставу та позичив реальні активи під суму, на яку ринок насправді ніколи не погоджувався.

__КОРОТКИЙ_ТОКЕН_1__

Це сценарій, який криптовалюта вже бачила раніше. Лі позначив цю схему як «зкачування та позика» в стилі «ринку Mango», що є натяком на експлойт Mango Markets вартістю приблизно 100 мільйонів доларів у жовтні 2022 року, і зазначив, що це вже третя версія того ж трюку, який він нещодавно відстежував, після атаки на ринок MAMO Moonwell на суму 8,7 мільйона доларів та окремого інциденту з reUSD/Pendle. Неліквідні токени управління продовжують потрапляти до списку як забезпечення, і зловмисники помічають це раніше, ніж протоколи.

Ніхто не погоджується щодо точної кількості

Оцінка Лі змінювалася двічі: спочатку приблизно на 66 мільйонів доларів, потім ближче до 75 мільйонів доларів, коли він відстежив другий гаманець, пов'язаний зі зловмисником, на якому зберігалося ще близько 8 мільйонів доларів. PeckShield незалежно досягнув позначки близько 74 мільйонів доларів. Третій дослідник, якого називає Хаджедан, застосував зовсім інший підхід, підсумувавши валові запозичення на 16 ринках Tectonic і отримавши 124 963 890 доларів, з яких, за його підрахунками, 99,91% належать зловмиснику; він відстежив близько 110,5 мільйонів доларів, які все ще залишаються на Cronos, і приблизно 7,8 мільйона доларів він не зміг розмістити. Ні Cronos, ні Tectonic не опублікували офіційну цифру збитків.

Жодна з цих цифр насправді не суперечить одна одній. Вони вимірюють різні речі: чистий обсяг переміщених коштів, валовий обсяг запозичень, обсяг гаманців, зарахованих на даний момент. Варто пам’ятати про це наступного разу, коли заголовок вибере одну цифру та представить її як остаточний факт.

Що вже досить чітко визначено, так це те, де знаходяться гроші. Lookonchain відстежив близько 6,29 мільйонів доларів, переведених в Ethereum та конвертованих у 2592 ETH, перш ніж ланцюжок заморозився. Решта, десь від 60 до 69 мільйонів доларів, залежно від того, якому трекеру ви довіряєте, так і не вийшла з Cronos.

Зупинка — це та частина, про яку люди насправді сперечаються

Cronos працює на ланцюжку Cosmos SDK на базі Tendermint з набором валідаторів, обмеженим 100, достатньо малим, щоб скоординувати екстрену зупинку протягом кількох хвилин. Саме це й сталося, і це також саме те, що зараз розділяє спільноту. Один користувач Cronos під ніком TurtleonCro висловився приблизно так само справедливо, як і будь-хто інший: пауза дійсно захистила людей від подальших втрат, а також довела, що невелика група валідаторів може заморозити кожен гаманець у ланцюжку, незалежно від того, чи торкався цей гаманець Tectonic. Обидва твердження правдиві, і жодне не скасовує іншого. Менша, голосніша група пішла далі, стверджуючи, що це навіть не слід називати зломом, оскільки зловмисник не порушив жодного коду, а просто дотримувався опублікованих правил протоколу до їх логічного, потворного завершення.

Генеральний директор Crypto.com Кріс Марсалек того ж дня звернувся до цього інциденту, пояснивши, що додаток біржі та централізована платформа залишилися недоторканими, і що буде проведено повний аналіз. «Усі кошти в безпеці», – написав він, твердження, яке варто відокремити від заморожування на рівні ланцюжка: Cronos та біржа Crypto.com – це різні системи, і зупинка ніколи не торкалася балансів біржі.

__КОРОТКИЙ_ТОКЕН_2__

Знову онлайн, питання все ще відкриті

Валідатори відновили виробництво блоків о 23:49 UTC тієї ж ночі, повернувши стан ланцюга до знімка, зробленого до експлойту, та відновивши роботу з блоку 90 896 189. Операторам вузлів було наказано оновитися до версії 1.7.8 та витягнути опубліковані знімки основної мережі. Cronos оголосив про відкат та зупинив екстрені дії, вжиті валідаторами та консенсусом для захисту користувачів, і повідомив, що наближається повний розтин.

__КОРОТКИЙ_ТОКЕН_3__

На момент написання цієї статті результати аналізу ще не були завершені, як і жодного плану компенсації для вкладників Tectonic. За повідомленнями, приблизно 32,6 мільйона доларів безнадійної заборгованості залишаються в рамках протоколу, на додаток до близько 8,71 мільйона доларів ліквідацій, ініційованих під час самої атаки. CRO впав на цілих 10% протягом дня після цієї новини, торгуючись від 0,055 до 0,056 долара, при цьому токен, який вже стрімко знижувався напередодні вихідних.

Контекст, який тут має значення

2026 рік не був сприятливим для DeFi-кредитування. Галузеві експерти нараховують 67 експлойтів протоколів кредитування серед 267 загальних інцидентів DeFi цього року, що призвело до того, що втрати сектору перевищили 1,26 мільярда доларів. Крах Tectonic відповідає схемі, яка постійно повторюється: експлойт рідко починається з розірваного контракту. Він починається з параметра забезпечення, який ніхто не тестував на стрес-тестування, порівняно з токеном, яким насправді ніхто не торгував.