Laut der Analyse von Cronos manipulierte ein Angreifer die Sicherheiten im Kreditprotokoll Tectonic und lieh sich über neun Märkte hinweg 120,4 Mio. USD, bevor die Validatoren das Netzwerk am 30. August stoppten.

Cronos hatte die Blockproduktion nach dem Tectonic-Exploit zunächst eingestellt, als das Ausmaß des Vorfalls noch auf frühen On-Chain-Schätzungen beruhte. Die Analyse trennt nun den geliehenen Betrag, den auf Cronos rückgängig gemachten Wert und den Betrag, der vor dem Stopp das Netzwerk verlassen hatte.

Wie der Angriff ablief

Die Zeitlinie von Cronos zeigt, wie schnell der Angriff voranschritt. Der Angreifer setzte zunächst Contracts ein und manipulierte den Preis von TONIC. Etwa 10 Minuten später diente die aufgeblähte Sicherheit als Grundlage, um über neun Märkte 120,4 Mio. USD zu leihen.

Das Netzwerkteam identifizierte die böswillige Aktivität ungefähr 36 Minuten nach Beginn des Angriffs. Die Blockproduktion wurde später bei Block 90.907.150 gestoppt, doch bis dahin hatten bereits 9,19 Mio. USD Cronos verlassen. Der auf dem Netzwerk verbleibende Betrag ließ sich noch rückgängig machen; Transferierte Assets darüber hinaus nicht.

Cronos nahm die Blockproduktion etwa 11 Stunden nach Beginn des Angriffs wieder auf und verwendete den letzten Block vor dem Exploit als wiederhergestellten Zustand.

— Cronos Network (@CronosNetwork) September 8, 2026

Wie die aufgeblähte TONIC-Sicherheit die Kreditaufnahme ermöglichte

Tectonic ermöglicht Nutzern, Sicherheiten einzuzahlen und gegen deren Wert zu leihen. Cronos erklärte, der Angreifer habe den Preis von TONIC, dem schwach gehandelten Token von Tectonic, in die Höhe getrieben und dann den aufgeblähten Wert als Sicherheit verwendet.

Ein Kreditprotokoll berechnet die Kreditkapazität anhand des gemeldeten Werts der Sicherheiten eines Nutzers. Steigt dieser Preis stark, kann die Position anscheinend einen wesentlich größeren Kredit tragen, auch wenn der zugrunde liegende Markt diese Bewertung nicht stützen kann.

Indem der Angreifer TONIC gegenüber dem Protokoll wertvoller erscheinen ließ, erhöhte er die Kreditkapazität der Position und entzog neun Kreditmärkten liquide Assets. Die Zahl von 120,4 Mio. USD bezieht sich auf diese geliehenen Assets, nicht auf den Marktwert von TONIC selbst.

Mango Markets zeigte ein ähnliches Sicherheitenrisiko

Die Struktur hat ein Präzedenzfall in der Mango-Markets-Manipulation von 2022. Laut der US Commodity Futures Trading Commission stieg der Preis des schwach gehandelten MNGO-Tokens innerhalb von 30 Minuten um mehr als das Dreizehnfache. Der künstlich aufgeblähte Wert der Positionen des Angreifers diente anschließend als Sicherheit, um mehr als 110 Mio. USD an digitalen Assets abzuziehen.

Die beiden Vorfälle waren nicht identisch. Mango betraf manipulierte MNGO-Spot- und Perpetual-Märkte, während der Cronos-Bericht aufgeblähte TONIC-Sicherheiten innerhalb der Kreditmärkte von Tectonic beschreibt. Das gemeinsame Risiko besteht darin, dass eine starke Bewegung eines Tokens mit geringer Liquidität eine Kreditkraft schaffen kann, die weit über dem Betrag liegt, der durch den Verkauf des Tokens am offenen Markt realisierbar wäre.

Das Rollback machte die auf Cronos verbliebenen Assets rückgängig

Die Validatoren setzten die Chain auf Block 90.896.188 zurück, den letzten Block vor dem Angriff. Die Maßnahme machte rund 111,2 Mio. USD rückgängig, die Cronos nicht verlassen hatten, und stellte die betroffenen Kontostände auf ihren Zustand vor dem Exploit zurück.

Rollbacks dieser Art sind in der Blockchain-Geschichte selten. Der bekannteste Präzedenzfall ist Ethereums Reaktion auf den DAO-Hack 2016, bei der der Zustand der Chain durch einen umstrittenen Hard Fork faktisch rückgängig gemacht wurde – eine Entscheidung, die die Community spaltete und zur Entstehung von Ethereum Classic führte. Das Cronos-Rollback war im Umfang deutlich kürzer und betraf weniger als zwei Stunden Historie, berührt aber dieselbe Spannung zwischen Unveränderlichkeit und Wiederherstellung, die seither die Debatten über Blockchain-Governance prägt.

Eine Validator-Entscheidung auf Cronos kann Transaktionen, die sich bereits auf einem anderen Netzwerk settled haben, nicht umschreiben. Cronos erklärte, die 9,19 Mio. USD, die vor dem Stopp abgingen, blieben außerhalb der Reichweite des Rollbacks, sodass die Wiedererlangung von Maßnahmen außerhalb der Chain-Wiederherstellung abhängt.

Die Reaktion machte auch unbeteiligte Transaktionen rückgängig

Das Rollback entfernte 10.961 Blöcke aus der Cronos-Historie, was 1 Stunde und 54 Minuten entspricht. Jede in diesem Zeitraum erfasste Transaktion wurde rückgängig gemacht, darunter auch Transaktionen ohne Bezug zu Tectonic.

Cronos erklärte, die Validatoren hätten die Entscheidung abgewogen zwischen der Finalität, die Nutzer von einer Blockchain erwarten, und dem Risiko, die geliehenen Assets unter der Kontrolle des Angreifers zu belassen. Ein Neustart ohne Wiederherstellung des früheren Chain-Zustands hätte die Position intakt gelassen.

Die wichtigen Fragen betreffen die für TONIC verwendeten Preisquellen, die auf Assets mit geringer Liquidität angewandten Sicherheits- und Kreditlimits sowie die Bedingungen, unter denen die Kreditaufnahme pausiert werden kann.

Kreditprotokolle können diese Art von Risiko durch mehrere Kontrollen begrenzen:

• Konservative Sicherheitsfaktoren, die begrenzen, wie viel gegen volatile Assets geliehen werden kann
• Assetspezifische Kreditlimits für Tokens mit geringer Liquidität wie TONIC
• Isolierte Märkte, die den Schaden auf einen einzelnen Pool begrenzen
• Circuit Breaker, die auf ungewöhnliche Preisbewegungen reagieren

Keine einzelne Kontrolle beseitigt das Oracle-Manipulationsrisiko, doch diese Maßnahmen können einschränken, wie viel Wert geliehen werden kann, bevor ein manipulierter Preis erkannt wird.

Die Bestätigung, welche Schutzmaßnahmen aktiv waren, welche versagten und was sich ändern wird, würde eine klarere Einschätzung ermöglichen, ob derselbe Weg erneut genutzt werden könnte. Das Rollback stellte den Chain-Zustand wieder her, korrigierte aber nicht von selbst die Bedingungen, die die Kreditaufnahme ermöglicht hatten.

Was noch ungeklärt ist

Die Blockproduktion wurde wieder aufgenommen, und Cronos teilte mit, dass Explorer, öffentliche RPC-Endpunkte, Indexer und Subgraphen betrieben werden. Das Netzwerk arbeitet mit Börsen, Bridges und anderen betroffenen Diensten zusammen, um deren Aufzeichnungen abzugleichen.

Cronos erklärte, Nutzer müssten während dieses Prozesses keine Maßnahmen ergreifen. Cronos identifizierte den Angreifer in seiner Analyse nicht und erläuterte auch nicht, wie die unerholten 9,19 Mio. USD wiedererlangt werden könnten. Das Rollback klärte die auf Cronos verbliebenen Assets; der verbleibende Betrag hängt von der Verfolgung und Wiedererlangung von Geldern ab, die außerhalb der Kontrolle des Netzwerks liegen. Ob Cronos und Tectonic die Ergebnisse einer Überprüfung der Preisquellen und Sicherheitseinstellungen des Protokolls veröffentlichen und ob TONICs Rolle als Sicherheit eingeschränkt wird, wird bestimmen, was der Vorfall über die wiederhergestellten Kontostände hinaus verändert.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanzberatung dar.