Cronos stoppte am Sonntag seine gesamte Blockchain, nachdem ein Angreifer rund 75 Millionen Dollar aus Tectonic, dem größten Kreditmarkt des Netzwerks, abgezogen hatte. Die Anhaltung hielt alle gestohlenen Gelder außer etwa 6 Millionen Dollar auf der Chain fest, bevor diese die Chain verlassen konnten – eine drastische Maßnahme für eine von Crypto.com unterstützte Chain, die jedoch den Unterschied machte zwischen der Begrenzung der meisten Verluste auf der Chain und ihrer Ausbreitung über das weitere Krypto-Ökosystem.

Nur 6 Millionen Dollar erreichten Ethereum, bevor Cronos die Blockproduktion einstellte

Der Angriff zielte auf den Preis von TONIC ab, dem dünn gehandelten Governance-Token des Protokolls, wie der On-Chain-Forscher Weilin Li berichtete, der die Abfolge als Erster auf X darlegte.

Der Token wurde in 20 Minuten um etwa das Hundertfache hochgetrieben und dann als Sicherheit eingesetzt, um andere echte Vermögenswerte aus dem Protokoll auszuleihen, so Li.

Tectonics eigene Parameter wiesen TONIC einen Sicherheitenfaktor von 20 % zu, was bedeutet, dass ein Einleger bis zu ein Fünftel des Werts des hinterlegten Tokens ausleihen konnte. Li zählte rund 364,6 Billionen TONIC in der Angriffsposition. Die Mechanik spiegelt eine lange bekannte Schwäche von Kreditmärkten wider, die Sicherheiten anhand dünner Spot-Liquidität bewerten: Wenn ein Orakel einen Token verfolgt, der sich günstig bewegen lässt, kann ein Angreifer den „Wert“ einer Position auf dem Papier aufblähen und gegen ihn echte Vermögenswerte abheben.

Laut CoinGecko-Daten musste dieser Bestand rund 0,00000103 Dollar pro Token wert sein, um die beobachtete Kreditaufnahme zu stützen – etwa das Hundertfache des Preises, zu dem TONIC vor dem Angriff gehandelt wurde.

Tectonics Dokumentation hatte davor gewarnt, dass Vermögenswerte mit geringer Liquidität genau für diese Art von Preismanipulation anfällig sind. Li verglich den Vorfall mit dem Mango-Markets-Hack von 2022, bei dem ein Händler einen illiquiden Token aufblies und gegen den Scheinwert Kredite aufnahm.

„Wir haben einen Exploit in Tectonic identifiziert. Das Cronos Network wurde angehalten, und wir werden hier Updates bereitstellen“, schrieb Cronos Network auf X am 30. August.

Auch Tectonic warnte Nutzer, dem Protokoll fernzubleiben, bis die Situation als sicher bestätigt werden konnte.

Li schätzte den Verlust zunächst auf rund 66 Millionen Dollar und erhöhte die Schätzung dann auf etwa 75 Millionen Dollar, nachdem er eine zweite, dem Angreifer gehörende Adresse mit weiteren 8 Millionen Dollar zurückverfolgt hatte. Nur etwa 6 Millionen Dollar wurden zu Ethereum übertragen, bevor Cronos die Blockproduktion einstellte, was bedeutet, dass die meisten gestohlenen Vermögenswerte auf der Chain blieben, auf der sie entwendet wurden. Was nun mit diesen gestrandeten Mitteln geschieht – ob die Chain mit ihnen eingefroren, verschoben oder anderweitig behandelt neu startet – ist die zentrale offene Frage, da die Koordination der Validatoren über die Wiederaufnahme der Blockproduktion üblicherweise darüber entscheidet, ob der Angreifer weiterhin die Möglichkeit hat, seine Beute zu verwerten.

Laut DeFiLlama hielt Tectonic vor dem Angriff rund 82,7 Millionen Dollar an aktiven Krediten und etwa 121,7 Millionen Dollar an gebundenem Gesamtwert. Die von Li gemeldeten Zahlen wurden von Tectonic oder Cronos nicht bestätigt.

Kreditprotokolle verzeichneten 67 Exploits bei 267 DeFi-Vorfällen

Crypto.com-Chef Kris Marszalek erklärte in einem Beitrag auf X, dass die App und die Börse von Crypto.com nicht kompromittiert wurden und dass das Sicherheitsteam des Unternehmens Cronos bei der Untersuchung unterstützt. Das Risiko beschränkt sich auf die DeFi-App Tectonic, nicht auf die Crypto.com-Börse. Tectonic ist das erste Kreditprotokoll im Netzwerk und arbeitet unabhängig auf Cronos.

CRO fiel mit der Verbreitung der Nachricht über 24 Stunden um rund 10,0 % und notierte laut CoinGecko bei etwa 0,055 Dollar.

Li wies darauf hin, dass ein Angreifer drei Tage zuvor den Preis des illiquiden MAMO-Tokens manipuliert hatte, wodurch das Base-Kreditprotokoll Moonwell geschätzte 8,7 Millionen Dollar verlor. Er hob außerdem einen Vorfall vom 25. August hervor, bei dem ein dünn gehandelter Pendle-Markt zu rund 36 Millionen Dollar an Liquidationen von gehebelten PT-reUSD-Positionen auf Morpho manipuliert wurde.

Cryptopolitan berichtete im Juli über einen Orakel-Angriff auf Balance Protocol, der einen falschen Preis einspeiste, den BLC-Token um rund 99 % abstürzen ließ und der Governance-Organisation 42DAO rund 912.000 Dollar entzog.

Im Februar zeigten Daten, dass Kreditprotokolle im Vorjahr 67 Exploits bei insgesamt 267 DeFi-Vorfällen verzeichneten. Preismanipulationen allein machten 13 Angriffe und rund 65 Millionen Dollar an Verlusten aus.

Cronos hat nicht mitgeteilt, wann die Chain neu gestartet wird oder was mit den gestrandeten Vermögenswerten des Angreifers geschehen soll.