Cronos ha arrestato la propria blockchain il 30 agosto dopo aver identificato un exploit che colpiva Tectonic, il principale protocollo di lending della rete, mentre gli investigatori rintracciavano decine di milioni di dollari in prestiti non autorizzati. L'arresto ha comportato la sospensione di tutte le attività sulla rete — transazioni, posizioni DeFi e trasferimenti — una misura disponibile sulle chain gestite da validatori ma raramente invocata sulle principali reti.

Il ricercatore onchain Weilin Li ha stimato gli asset colpiti a circa 75 milioni di dollari, mentre Tectonic ha separatamente avvertito gli utenti di non interagire con il protocollo finché non conferma che le operazioni sono sicure. La cifra di 75 milioni di dollari rimane preliminare in attesa del rendiconto finale di Tectonic.

La manipolazione del prezzo di TONIC ha gonfiato il potere di indebitamento

L'attacco si è concentrato su TONIC, il governance token di Tectonic caratterizzato da scarsi volumi di negoziazione. Li ha ricostruito una sequenza di manipolazione del prezzo in cui TONIC è salito di circa 100 volte in circa 20 minuti, prima che i token dal valore gonfiato venissero usati come collateral per prendere in prestito asset più liquidi.

I parametri del money market di Tectonic assegnavano a TONIC un collateral factor del 20%, permettendo ai mutuatari di ottenere prestiti fino a un quinto del valore del collateral accettato. Li ha identificato circa 364,6 trilioni di TONIC nella posizione dell'attacco, generando un'enorme capacità di indebitamento una volta che il prezzo del token è stato spinto verso l'alto in mercati poco profondi.

La struttura ricorda da vicino il recente attacco oracolare a Moonwell, dove la scarsa liquidità di MAMO ha permesso a un prezzo del collateral gonfiato di sostenere milioni di dollari di prestiti su Base. La manipolazione degli oracoli di prezzo ai danni di token collateral a bassa liquidità è stata una modalità di fallimento ricorrente per i protocolli di lending, poiché i mercati si affidano a price feed che possono essere distorti quando la liquidità sottostante di un token è scarsa rispetto al suo valore di collateral iscritto.

Solo circa 6 milioni di dollari hanno raggiunto Ethereum prima dell'arresto

Li aveva inizialmente stimato circa 66 milioni di dollari in asset colpiti, prima di identificare un altro indirizzo collegato all'attaccante con circa 8 milioni di dollari, portando la sua stima totale verso i 75 milioni di dollari.

Gli asset presi in prestito includevano stablecoin, Bitcoin wrappato, Ether wrappato e CRO. Un'analisi separata su nodi archivio ha misurato 54,32 milioni di dollari in USDC, 44,87 milioni in USDT, 95,36 WBTC, 1.861 WETH e 39,61 milioni di CRO tra i prelievi dai mercati colpiti, sebbene tale analisi abbia prodotto una stima dell'outflow lordo maggiore che include attività di protocollo aggiuntive.

Solo circa 6 milioni di dollari sono stati bridgeati su Ethereum prima che Cronos smettesse di produrre blocchi, lasciando la maggior parte degli asset legati all'exploit bloccata sulla rete — un fattore chiave citato dagli investigatori nel limitare potenziali movimenti cross-chain. L'intervento ricorda il recente arresto di KiiChain, dove i validatori hanno anch'essi fermato una Layer 1 mentre gli asset rimanevano recuperabili onchain.

Crypto.com dichiara che app ed exchange non sono stati colpiti

L'amministratore delegato di Crypto.com, Kris Marszalek, ha dichiarato che l'app e l'exchange della società non sono stati colpiti e hanno continuato a operare normalmente. Il team di sicurezza di Crypto.com sta assistendo Cronos nelle indagini, mentre Tectonic opera come protocollo di lending indipendente sulla rete. Cronos è strettamente associato a Crypto.com, che utilizza la chain per parti del proprio ecosistema, sebbene l'exchange stesso giri su un'infrastruttura separata.

Prima dell'exploit, Tectonic deteneva circa 121,7 milioni di dollari in total value locked e 82,7 milioni in prestiti attivi, il che rende le perdite stimate una quota sostanziale del portafoglio di lending del protocollo. All'alba di lunedì 31 agosto Cronos non aveva ancora pubblicato un blocco di riavvio, e l'istruzione permanente di Tectonic resta quella di evitare di interagire con il protocollo finché non conferma che la piattaforma è sicura. Da monitorare il rendiconto finale delle perdite di Tectonic, il blocco di riavvio della rete ed eventuali comunicazioni su come verranno gestiti i fondi utente rimanenti e le posizioni.