Cronos Network, ein mit Crypto.com verbundenes Blockchain-Ökosystem, hat als Reaktion auf einen Exploit, der das dezentrale Finanzprotokoll Tectonic betrifft, den Betrieb eingestellt. Tectonic ermöglicht es Nutzern, auf der Cronos-Blockchain Krypto-Assets zu verleihen und auszuleihen, wie eine Ankündigung vom 30. August besagt.

Tectonic bestätigte, dass das Projekt mit einem Vorfall befasst ist, und rief die Nutzer auf, während der laufenden Untersuchung nicht mit dem Protokoll zu interagieren. Das Projekt kündigte an, ein verifiziertes Update zu veröffentlichen, sobald die Untersuchung weitere Erkenntnisse liefert. Zum Zeitpunkt der Veröffentlichung lagen keine Details zur konkreten Schwachstelle oder zum Ausmaß möglicher Verluste vor.

Tectonic, das Ende 2021 auf Cronos startete, ist eines der am längsten betriebenen DeFi-Protokolle des Ökosystems und folgt einem Modell ähnlich wie Compound und Aave, bei dem Zinssätze algorithmisch auf Grundlage von Angebot und Nachfrage festgelegt werden. Sein Total Value Locked machte es zu einer der größeren Kreditplattformen im Netzwerk.

Tectonic erlaubt es Nutzern, Krypto-Assets zur Zinserzielung bereitzustellen oder unterstützte Assets gegen hinterlegte Sicherheiten auszuleihen. TONIC, der native Token des Protokolls, dient der Governance und weiteren Nutzungen; Inhaber können ihn als xTONIC staken, um an Protokollerlösen zu partizipieren.

Gemäß einer vorläufigen Analyse des On-Chain-Forschers Awoo manipulierte der Angreifer offenbar den Preis des TONIC-Tokens und nutzte anschließend den künstlich erhöhten Wert als Sicherheit, um Gelder aus dem Protokoll auszuleihen.

https://twitter.com/awoocronos/status/2094079412266238055?s=20

Der Angreifer kaufte Berichten zufolge rund 16 Billionen TONIC über drei VVS-Pools mit etwa 600.000 US-Dollar in USDC und CRO, wodurch der Tokenpreis um rund 40 % stieg. VVS Finance ist die führende dezentrale Börse von Cronos, und deren Liquiditätspools sind zentrale Handelsorte für Token im Ökosystem. Anschließend wurden die Token zusammen mit 5 Millionen US-Dollar in USDC bei Tectonic eingezahlt.

Nach zwei Testkrediten entzog der Angreifer Berichten zufolge in einer einzigen Transaktion rund 120 Millionen US-Dollar – bestehend aus USDC, USDT, WBTC, WETH und CRO. Laut Awoo gab der Angreifer etwa 5,6 Millionen US-Dollar eigener Mittel für die Durchführung aus, während Nachahmer-Trader anschließend etwa 2 Millionen US-Dollar abzogen.

Die Manipulation des Preises eines als Sicherheit genutzten Assets, um mehr Wert abzuziehen als hinterlegt wurde, ist ein wiederkehrendes Angriffsmuster auf DeFi-Lending-Protokolle und deutet in der Regel darauf hin, dass ein Protokoll auf einen Preis-Feed setzte, der über Pools mit geringer Liquidität verfälscht werden konnte. Ob Tectonics Orakel oder die Praxis der Zulassung von Sicherheiten eine Rolle spielten, ist Gegenstand der Untersuchung.

Die Entscheidung, die gesamte Chain anzuhalten, ist für ein als dezentral vermarktetes Netzwerk bemerkenswert und ähnelt koordinierten Reaktionen von Validatoren bei früheren großvolumigen Exploits auf anderen öffentlichen Blockchains, bei denen Betreiber die Blockproduktion stoppten, um die Verschiebung von Angreifer-Geldern zu verhindern. Sie verdeutlicht zudem den operativen Einfluss, den Crypto.com und seine Partner weiterhin auf das Cronos-Ökosystem ausüben, da das Netzwerk als von der Börse inkubiertes Projekt entstanden ist.

In einer Erklärung betonte Crypto.com-CEO Kris Marszalek, dass die Sicherheitsverletzung die Haupt-App und die Börse von Crypto.com nicht beeinträchtigt habe. Marszalek erklärte, alle Gelder seien sicher, und kündigte an, weitere Informationen bereitzustellen, sobald Details vorliegen. Zudem sagte er zu, nach Abschluss der Untersuchung des Tectonic-Vorfalls eine vollständige Ursachenanalyse zu veröffentlichen.

There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will… — Kris (@kris) August 30, 2026