Die Adresse mit Verbindung zum Tectonic-Hack hat am 3. September (UTC) rund 2.658,9 ETH im Wert von etwa 6,65 Millionen US-Dollar in Tornado Cash transferiert, wie die Blockchain-Sicherheitsfirma PeckShield meldet. Die Einzahlung stellt einen erheblichen Teil der Mittel dar, die Cronos nach dem Vorfall vom 30. August nicht zurückgewinnen konnte, nachdem die Validatoren die Chain zurückgerollt hatten.

Das Ziel dieser Transaktion reicht weit über Cronos hinaus. Tornado Cash ist weiterhin der größte Mixer in Ethereum-basierten Netzwerken, was die Transaktion für Börsen, Ermittler und Analysten relevant macht, die gestohlene Kryptowährungen verfolgen. Da Tornado Cash im März 2025 von den US-Sanktionen gestrichen wurde, setzen On-Chain-Analysten heute auf statistisches Clustering und Follow-the-Funds-Techniken statt auf rechtliche Zwangsmaßnahmen, um zu verfolgen, wo die ETH als Nächstes auftaucht.

Das einzige Geld, das das Rollback nicht erreichen konnte

Als Tectonic, Cronos' größte Kreditplattform, am 30. August geplündert wurde, stoppten die Validatoren das Netzwerk nahezu umgehend. Cronos erklärte anschließend, die Chain in den Zustand vor dem Angriff wiederhergestellt und die Blockproduktion ab Blocknummer 90.896.189 wieder aufgenommen zu haben.

Das Rollback löschte nahezu alle Guthaben des Angreifers auf Cronos, konnte jedoch keine Mittel rückgängig machen, die bereits zu Ethereum übertragen worden waren. Diese Spaltung bestimmt die weitere Recovery-Lage: Rund 68 Millionen US-Dollar, die in den beiden Cronos-Wallets gebunden sind, bleiben auf der zurückgerollten Chain außer Reichweite des Angreifers, während die Mittel auf Ethereum-Seite nun der aktiv bewegte – und aktiv gewaschene – Teil der Beute sind.

PeckShield schätzt, dass rund 74 Millionen US-Dollar an gestohlenen Mitteln über drei Adressen verfolgt werden können: etwa 60 Millionen US-Dollar in einem Cronos-Wallet, 8 Millionen in einem zweiten und 6 Millionen auf Ethereum.

The Defiant berichtete, dass das Ethereum-Guthaben zu diesem Zeitpunkt 2.592,2152 ETH betrug, was etwa 6,29 Millionen US-Dollar entsprach. Daten von TRM Labs deuteten darauf hin, dass der Hacker die Mittel zunächst über USDC von Cronos verschob, bevor er sie in etwa 2.500 ETH umwandelte.

Dieser Artikel verwendet die Zahl von 75 Millionen US-Dollar, basierend auf Berichten von TRM Labs und dem On-Chain-Forscher Weilin Li. PeckShields Schätzung von rund 74 Millionen US-Dollar entspricht dem aufgerundeten Wert der Mittel über die drei verfolgten Adressen. Die größere Zahl von 119,5 Millionen US-Dollar stammt aus einer umfassenderen Archiv-Knoten-Rekonstruktion, die auch einen Vertrag einschließt, den die Angreifer vor dem Exploit eingerichtet hatten.

Ein 100-facher Pump, der Cronos' größten Kreditgeber aushöhlte

Der Angriff zielte auf einen Token mit geringer Markttiefe. Laut TRM Labs verzeichnete TONIC in der Woche vor dem Hack lediglich 305.000 US-Dollar Handelsvolumen, obwohl er eine Besicherungsquote von 20 % aufwies. Genau diese Kombination – minimale Handelsaktivität gepaart mit realer Kreditkraft innerhalb eines Kreditmarktes – machte den Preis zu einem angreifbaren Input statt zu einem verlässlichen Signal.

Die Sicherheitsfirma Halborn erklärte, der Angreifer habe den Preis von TONIC innerhalb von 20 Minuten um etwa das Hundertfache in die Höhe getrieben und den überbewerteten Token als Sicherheit genutzt, um aus neun Kreditprotokollen werthärtere Assets zu leihen.

Frühere Berichte von Cryptopolitan zeigten, dass sich die geschätzten Verluste von rund 66 Millionen auf etwa 75 Millionen US-Dollar erhöhten, nachdem Li ein zweites Wallet des Angreifers identifiziert hatte. Daten von DeFiLlama zeigen, dass der Total Value Locked (TVL) von Tectonic von rund 121,7 Millionen US-Dollar vor dem Hack auf etwa 3 Millionen US-Dollar einbrach.

Warum eine Einzahlung von 6,65 Millionen US-Dollar weit über Cronos hinausgeht

Die Tornado-Cash-Einzahlung ist im Verhältnis zum breiteren Kryptomarkt zwar gering, ihr Routing ist jedoch bedeutungsvoll. TRM Labs berichtete, dass Tornado Cash bis Juni 2026 mehr als 700 Millionen US-Dollar erhalten hatte und weiterhin der größte Mixer in Ethereum-basierten Netzwerken blieb.

TRM hat auch die Nutzung durch Ransomware-Gruppen, Cyberkriminelle und die nordkoreanische Lazarus-Gruppe dokumentiert, wobei das Unternehmen darauf hinwies, dass das Protokoll auch legitimen Datenschutzwecken dient. Das US-Finanzministerium hatte Tornado Cash am 21. März 2025 von seiner Sanktionsliste gestrichen.

Cronos' Reaktion warf zudem die Frage der Finalität auf. Halborn stellte fest, dass das Rollback den Schaden begrenzte, jedoch zu Lasten des Vertrauens in die Unveränderlichkeit des Ledgers ging. Cryptopolitan berichtete, dass CRO in den ersten 24 Stunden nach dem Vorfall um rund 10 % fiel, während CoinMarketCap die anhaltende Schwäche später mit dem Exploit, der Netzwerkpause und dem Rollback in Verbindung brachte. Der Vorfall befeuert eine wiederkehrende Debatte in Proof-of-Stake-Ökosystemen über die Abwägungen, die Validatoren eingehen, wenn sie finalisierte Zustände außer Kraft setzen, um einen Exploit einzudämmen.

Ein Rekordjahr für Preismanipulationsangriffe

Tectonic ist Teil eines breiteren Sicherheitstrends. PeckShield zählte im August 50 große Hacks, ein Anstieg um 67 % gegenüber den 30 im Juli, selbst als die Gesamtverluste um 49,5 % auf 136,3 Millionen US-Dollar gegenüber 270 Millionen US-Dollar sanken. Tectonic war der größte Vorfall des Monats August und rangierte damals als viergrößter Kryptodiebstahl des Jahres 2026.

Laut TRM Labs haben Preismanipulations-Exploits im Jahr 2026 bereits ein Allzeithoch erreicht, mit bislang 32 dokumentierten Fällen.

Die zugrunde liegende Schwäche liegt nicht immer in fehlerhaftem Code. Wenn schwach gehandelte Sicherheiten echte Kreditkraft erhalten, können Angreifer den Preis ins Visier nehmen, auf den ein Protokoll vertraut. Tectonic zeigt, wie schnell sich dieses Risiko ausbreiten kann – von einem illiquiden Token über ein Kreditprotokoll und ein Chain-Rollback bis hin in das grenzüberschreitende Waschökosystem. Für Ermittler und Börsen lautet die unmittelbare Frage, ob das frisch gemischte ETH an Auszahlungspunkten wieder auftaucht; für Kreditprotokolle im gesamten DeFi-Bereich lautet sie, ob Oracle- und Besicherungsrichtlinien für Token mit geringer Liquidität vor dem nächsten Manipulationsereignis verschärft werden.

Quellen: PeckShield, Cronos Network, The Defiant, TRM Labs, Halborn, DeFiLlama.