Cronos stoppt die gesamte Chain nach ~75-Millionen-Dollar-Exploit bei Tectonic
Wichtige Erkenntnisse
- •Cronos hielt nach der Identifizierung eines Exploits gegen das Kreditprotokoll Tectonic seine gesamte Layer-1-Blockchain an und setzte damit netzwerkweit Transfers, Bridges und Smart-Contract-Aktivitäten aus.
- •Forscher schätzen, dass rund 75 Millionen US-Dollar gestohlen wurden; nur etwa 6 Millionen US-Dollar wurden vor der Anhaltung zu Ethereum überbrückt, rund 68 Millionen US-Dollar verblieben in mutmaßlichen Angreifer-Adressen auf dem angehaltenen Netzwerk.
- •Bei dem mutmaßlichen Angriff wurde der Preis des Governance-Tokens TONIC in etwa 20 Minuten grob verhundertfacht und gegen den künstlich aufgeblähten Sicherheitenwert liquide Mittel ausgeliehen.
- •Crypto.coms zentralisierte App und Börse blieben mit unbeeinträchtigten Kundengeldern in Betrieb, doch für direkte Tectonic-Einleger wurde kein Entschädigungsplan angekündigt.
- •Weder Cronos noch Tectonic haben einen Postmortem-Bericht, eine bestätigte Verlustsumme, einen Neustartzeitpunkt oder einen Umgang mit den mutmaßlichen Angreifer-Adressen veröffentlicht.
Cronos stoppte die Chain, nicht nur Tectonic
Cronos Network teilte mit, dass es einen Exploit gegen Tectonic identifiziert und die Blockchain angehalten habe. Tectonic bestätigte den Vorfall separat und warte Nutzer an, nicht mit dem Protokoll zu interagieren, bis dessen Sicherheit bestätigt ist.
Cronos und Tectonic stellen zwei getrennte Ebenen des Vorfalls dar. Cronos ist das Layer-1-Netzwerk, das Transaktionen verarbeitet, während Tectonic eine darauf aufgebaute Kreditanwendung ist. Die Anhaltung der Blockproduktion setzte daher On-Chain-Transfers, Bridges und Smart-Contract-Aktivitäten im gesamten Ökosystem aus – einschließlich Diensten ohne jede Verbindung zu Tectonic.
Zum Zeitpunkt der Veröffentlichung lagen kein offizieller Postmortem-Bericht, keine bestätigte Verlustsumme und kein Neustartzeitpunkt vor. Die Teams haben den Vorfall und die Notfallmaßnahmen bestätigt, nicht jedoch die zugrunde liegende Ursache.
We are aware of an incident affecting Tectonic and our team is actively investigating. As a precaution, please do not interact with the protocol until we confirm it is safe to do so. We will post a verified update here as soon as we have one.
— Tectonic.cro (@TectonicFi) August 30, 2026
Der Großteil der verdächtigen Gelder ist eingeschlossen, nicht wiederhergestellt
Der On-Chain-Forscher Weilin Li schätzte zunächst, dass etwa 66 Millionen US-Dollar betroffen seien. Später identifizierte er eine weitere mutmaßlich vom Angreifer kontrollierte Adresse mit rund 8 Millionen US-Dollar und erhöhte seine Schätzung auf etwa 75 Millionen US-Dollar.
PeckShield meldete anschließend eine ähnliche Gesamtsumme von etwa 74 Millionen US-Dollar. Die Übereinstimmung der beiden Analysestellen stützt die Verwendung von 75 Millionen US-Dollar als Arbeitsschätzung, auch wenn weder Cronos noch Tectonic diese als endgültigen Verlust bestätigt haben.
#PeckShieldAlert @TectonicFi was exploited for ~$74M total on the @CronosNetwork. In response, Cronos paused the entire chain. The attacker managed to bridge out only ~$6M to #Ethereum before the pause, leaving the remaining ~$60M stuck on Cronos. The attacker's funds are now… pic.twitter.com/c1b5eFiQer
— PeckShieldAlert (@PeckShieldAlert) August 31, 2026
Die verfügbaren Verfolgungsdaten deuten darauf hin, dass rund 6 Millionen US-Dollar vor dem Stopp der Blockproduktion Ethereum erreichten. Etwa 60 Millionen US-Dollar verblieben in einer Cronos-Adresse, während eine weitere mutmaßliche Adresse rund 8 Millionen US-Dollar hielt.
Diese Adressen können keine Transaktionen einreichen, solange das Netzwerk angehalten ist. Die Kontrolle über die Vermögenswerte hat sich jedoch nicht geändert, da der Angreifer weiterhin über die relevanten privaten Schlüssel verfügt. Cronos hat nicht mitgeteilt, ob der Neustart den aktuellen Zustand bewahren, die mutmaßlichen Adressen einschränken oder eine andere Form der Intervention umfassen wird.
DefiLlama wies für Tectonic nach dem Vorfall eine Total Value Locked von rund 3 Millionen US-Dollar aus. Diese Zahl veranschaulicht den Schaden für das Protokoll, ist aber keine direkte Berechnung der gestohlenen Gelder, da Token-Preise und Buchungsänderungen die TVL ebenfalls beeinflussen. Dasselbe Buchungsproblem zeigte sich nach dem jüngsten Exploit bei Term-Vaults, wo abgezogene Vermögenswerte, aktuelle Wallet-Guthaben und der letztlich unwiederbringliche Verlust getrennte Größen blieben.
Wie ein künstlich aufgeblähtes TONIC Berichten zufolge liquide Mittel freisetzte
Lis Rekonstruktion deutet auf einen Pump-and-Borrow-Angriff mit TONIC hin, dem Governance-Token von Tectonic. Er gab an, dass das Token trotz des Handels in einem dünnen Markt einen Collateral-Faktor von 20 % aufwies.
Die Money-Market-Dokumentation von Tectonic erläutert, dass ein Collateral-Faktor bestimmt, wie viel ein Nutzer gegen ein hinterlegtes Asset ausleihen kann. Ein Faktor von 20 % erlaubt Kredite im Wert von bis zu einem Fünftel des erfassten Wertes der Sicherheit.
Der berichtete Angriff verlief in vier Schritten:
- Der Marktpreis von TONIC stieg innerhalb von etwa 20 Minuten grob um das Hundertfache.
- Der Angreifer hinterlegte die neu bewerteten Token als Sicherheit.
- Tectonic berechnete die Kreditfähigkeit anhand des aufgeblähten Wertes.
- Der Angreifer entzog den Kreditpools liquide Mittel.
Das Protokoll konnte dadurch wertvolle Vermögenswerte gegen eine TONIC-Bewertung verleihen, die der offene Markt nicht tragen konnte. Zu den abgezogenen Vermögenswerten gehörten Berichten zufolge USDC, USDT, WBTC, WETH und CRO. Nachdem TONICs künstliche Bewertung verschwand, konnte die verbleibende Sicherheit die Kredite nicht mehr decken.
Diese Rekonstruktion deutet eher auf eine Preis- oder Orakelmanipulation als auf eine klassische Codeverletzung hin. Die Manipulation dünner Märkte, um den erfassten Wert eines Tokens aufzublähen und dagegen zu leihen, ist ein bekanntes DeFi-Angriffsmuster; der Mango-Markets-Exploit 2022 auf Solana folgte einem analogen Ansatz, bei dem ein Governance-Token mit geringer Liquidität aufgebläht wurde, um die Vermögenswerte des Protokolls auszuleihen. Nur Tectonics Postmortem-Bericht kann feststellen, ob in diesem Fall der Preis-Feed, die Collateral-Einstellungen oder ein anderer Vertragspfad versagten.
Cronos stoppte den Angreifer, indem es alle stoppte
Die offizielle Dokumentation von Cronos besagt, dass das auf Tendermint basierende Konsenssystem die Teilnahme auf die 100 größten Validatoren nach Stake begrenzt. Dieser kompakte aktive Satz kann eine Notfallpause leichter koordinieren als ein Netzwerk mit Tausenden unabhängiger Validatoren.
Dieselbe Maßnahme verhindert jedoch auch, dass unbeteiligte Nutzer Vermögenswerte transferieren, DeFi-Positionen anpassen oder ausstehende Transaktionen abschließen. Eine Reaktion auf Chain-Ebene kann eine einzelne Kreditanwendung nicht isolieren; sie setzt die Abwicklung für das breitere Ökosystem aus. Eine ähnliche Folge wurde untersucht, als MANTRA seine Mainnet anhielt, ebenfalls im Rahmen eines Sicherheitsvorfalls. In beiden Fällen schränkte das Anhalten des Ledgers den Angreifer und die gewöhnlichen Nutzer gleichermaßen ein.
Cronos' Validatorenstruktur gab dem Netzwerk ein Mittel, den mutmaßlichen Diebstahl zu verlangsamen. Sie legte zugleich die Entscheidung darüber, wann Transaktionen wieder aufgenommen werden, in die Hände dieses Validatorensatzes.
Die Verwahrungsart bestimmt nun die unmittelbaren Auswirkungen
Die Netzwerkpause betraf Nutzer unterschiedlich, je nachdem, wo ihre Vermögenswerte verwahrt waren. Crypto.com-CEO Kris Marszalek erklärte, die zentralisierte App und die Börse des Unternehmens seien weiterhin in Betrieb und die Kundengelder seien nicht betroffen.
There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will…
— Kris (@kris) August 30, 2026
Diese Zusicherung betrifft die zentralisierten Dienste von Crypto.com. Sie deckt keine Vermögenswerte ab, die direkt bei Tectonic bereitgestellt wurden, wo Nutzer mit Smart Contracts auf dem inzwischen angehaltenen Netzwerk interagiert hatten.
Crypto.coms Sicherheitsteam unterstützt die Untersuchung, doch weder Cronos noch Tectonic hatten zum Zeitpunkt der Veröffentlichung einen Entschädigungsplan für betroffene Einleger angekündigt.
Die Anhaltung verhinderte, dass der Großteil der mutmaßlichen Erlöse sofort abfloß, doch die ersten Blöcke nach dem Neustart werden zeigen, ob diese Gelder weiterhin eingedämmt bleiben. Bis Cronos einen solchen Plan veröffentlicht, stellt die Pause eine Verzögerung dar, keine abgeschlossene Wiederherstellung.
Quelle: Coindoo
