La blockchain Cronos è stata fermata dopo che un attaccante ha sfruttato Tectonic, il più grande protocollo di lending della rete, in un incidente stimato aver colpito circa 75 milioni di dollari in asset. Tectonic opera su Cronos, una chain compatibile con l'Ethereum Virtual Machine lanciata nel 2021 da Crypto.com, e funziona in modo simile a piattaforme di lending come Compound e Aave, dove gli utenti depositano asset e prendono in prestito contro una garanzia.

L'attacco avrebbe comportato la manipolazione del prezzo del token TONIC di Tectonic, poco scambiato, di quasi 100 volte in circa 20 minuti. L'attaccante ha poi utilizzato i token artificialmente gonfiati come garanzia per prendere in prestito asset più liquidi dal protocollo.

Prima dell'attacco, Tectonic deteneva circa 121,7 milioni di dollari in total value locked (TVL), di cui circa 82,7 milioni in prestiti attivi. A seguito dell'exploit, il TVL del protocollo è crollato a circa 3 milioni di dollari.

I validatori di Cronos sono intervenuti rapidamente per fermare la produzione di blocchi, lasciando la maggior parte dei fondi legati all'exploit bloccata sulla rete. Solo circa 6 milioni di dollari sarebbero stati trasferiti su Ethereum prima dello shutdown. La capacità dei validatori di coordinare un arresto evidenzia un compromesso in tali reti: l'intervento centrale può limitare le perdite in una crisi, ma è in tensione con il funzionamento trustless che i sistemi DeFi sono progettati per offrire. In particolare, Ethereum e altre principali reti proof-of-stake non prevedono un meccanismo che consenta ai validatori di mettere in pausa unilateralmente la chain in questo modo.

L'incidente evidenzia una vulnerabilità ricorrente nella finanza decentralizzata (DeFi): i token poco scambiati possono diventare garanzie pericolose quando i protocolli di lending si affidano a prezzi di mercato che possono essere manipolati. La manipolazione degli oracoli di prezzo è stata un fattore in numerosi exploit DeFi passati, dove gli attaccanti gonfiano il valore riportato di un asset a bassa liquidità per prendere in prestito fondi più liquidi contro di esso.

Tectonic non ha confermato le perdite finali né la causa principale dell'exploit, mentre Cronos non ha annunciato quando la rete riprenderà le operazioni. Crypto.com, che ha costruito la blockchain Cronos, ha dichiarato che il suo exchange centralizzato e la sua app non sono stati colpiti dall'incidente.

Fonte: BitcoinKE