Cronos ferma l'intera blockchain dopo l'exploit da ~75 milioni di dollari su Tectonic
Punti chiave
- •Cronos ha fermato l'intera blockchain Layer-1 dopo aver identificato un exploit ai danni del protocollo di lending Tectonic, sospendendo trasferimenti, bridge e attività degli smart contract sull'intera rete.
- •I ricercatori stimano che siano stati sottratti circa 75 milioni di dollari, di cui solo circa 6 milioni trasferiti su Ethereum prima dell'arresto e circa 68 milioni rimasti in indirizzi sospettati di essere controllati dall'attaccante sulla rete in pausa.
- •Il presunto attacco ha previsto l'inflate del prezzo del token di governance TONIC di circa 100 volte in circa 20 minuti e la presa in prestito di asset liquidi contro il valore del collateral artificialmente gonfiato.
- •L'app centralizzata e l'exchange di Crypto.com sono rimasti operativi con i fondi dei clienti intatti, ma non è stato annunciato alcun piano di rimborso per i depositanti diretti di Tectonic.
- •Né Cronos né Tectonic hanno pubblicato un postmortem, una cifra di perdita confermata, un orario di riavvio o un piano per gestire gli indirizzi sospetti dell'attaccante.
Cronos ha fermato la chain, non solo Tectonic
Cronos Network ha annunciato di aver identificato un exploit ai danni di Tectonic e di aver fermato la blockchain. Tectonic, separatamente, ha riconosciuto l'incidente e ha invitato gli utenti a non interagire con il protocollo finché non ne fosse stata confermata la sicurezza.
Cronos e Tectonic rappresentano due livelli distinti dell'incidente. Cronos è la rete Layer-1 che elabora le transazioni, mentre Tectonic è un'applicazione di lending costruita sopra di essa. L'arresto della produzione di blocchi ha quindi sospeso i trasferimenti on-chain, i bridge e l'attività degli smart contract in tutto l'ecosistema — inclusi servizi senza alcun collegamento con Tectonic.
Al momento della scrittura non erano stati pubblicati un postmortem ufficiale, una cifra di perdita confermata né un orario di riavvio. I team hanno confermato l'incidente e la risposta di emergenza, ma non la causa sottostante.
We are aware of an incident affecting Tectonic and our team is actively investigating. As a precaution, please do not interact with the protocol until we confirm it is safe to do so. We will post a verified update here as soon as we have one.
— Tectonic.cro (@TectonicFi) August 30, 2026
La maggior parte dei fondi sospetti è intrappolata, non recuperata
Il ricercatore on-chain Weilin Li aveva inizialmente stimato un coinvolgimento di circa 66 milioni di dollari. In seguito ha identificato un altro indirizzo sospettato di essere controllato dall'attaccante con circa 8 milioni di dollari, portando la sua stima a circa 75 milioni.
PeckShield ha successivamente riportato un totale simile di circa 74 milioni di dollari. La convergenza tra i due tracker supporta l'uso di 75 milioni come stima di riferimento, anche se né Cronos né Tectonic l'hanno confermata come perdita definitiva.
#PeckShieldAlert @TectonicFi was exploited for ~$74M total on the @CronosNetwork. In response, Cronos paused the entire chain. The attacker managed to bridge out only ~$6M to #Ethereum before the pause, leaving the remaining ~$60M stuck on Cronos. The attacker's funds are now… pic.twitter.com/c1b5eFiQer
— PeckShieldAlert (@PeckShieldAlert) August 31, 2026
Le tracce disponibili suggeriscono che circa 6 milioni di dollari abbiano raggiunto Ethereum prima dell'arresto della produzione di blocchi. Circa 60 milioni sono rimasti in un indirizzo su Cronos, mentre un altro indirizzo sospetto conteneva circa 8 milioni.
Quegli indirizzi non possono inviare transazioni finché la rete è ferma. Il controllo degli asset non è tuttavia cambiato, perché l'attaccante detiene ancora le relative chiavi private. Cronos non ha detto se il riavvio manterrà lo stato attuale, restringerà gli indirizzi sospetti o prevederà un'altra forma di intervento.
DefiLlama mostrava Tectonic con circa 3 milioni di dollari di total value locked dopo l'incidente. Tale cifra illustra l'entità del danno al protocollo ma non è un calcolo diretto dei fondi rubati, poiché anche i prezzi dei token e le variazioni contabili incidono sulla TVL. Lo stesso problema contabile era emerso dopo il recente exploit dei vault Term, dove gli asset estratti, i saldi vivi dei wallet e la perdita finale irrecuperabile rimasero cifre distinte.
Come il TONIC gonfiato avrebbe sbloccato asset liquidi
La ricostruzione di Li indica un attacco pump-and-borrow coinvolgente TONIC, il token di governance di Tectonic. Ha riportato che il token aveva un collateral factor del 20% pur scambiando su un mercato poco liquido.
La documentazione del money market di Tectonic spiega che il collateral factor determina quanto un utente può prendere in prestito rispetto a un asset depositato. Un fattore del 20% consente di prendere in prestito fino a un quinto del valore registrato del collateral.
L'attacco riportato si è svolto in quattro fasi:
- Il prezzo di mercato di TONIC è aumentato di circa 100 volte in circa 20 minuti.
- L'attaccante ha fornito i token riprezzati come collateral.
- Tectonic ha calcolato il potere di prestito usando il valore gonfiato.
- L'attaccante ha prelevato asset più liquidi dai pool di lending.
Il protocollo ha quindi potuto prestare asset di valore contro una valutazione di TONIC che il mercato aperto non era in grado di sostenere. Gli asset prelevati includevano, secondo i report, USDC, USDT, WBTC, WETH e CRO. Una volta scomparso il valore artificiale di TONIC, il collateral residuo non era più in grado di coprire i prestiti.
Questa ricostruzione punta a una manipolazione del prezzo o dell'oracolo piuttosto che a una violazione tradizionale del codice. La manipolazione di mercati poco liquidi per gonfiare il valore registrato di un token e prendere in prestito contro di esso è uno schema di attacco DeFi noto; l'exploit di Mango Markets del 2022 su Solana usò un approccio analogo, gonfiando un token di governance a bassa liquidità per prendere in prestito gli asset del protocollo. Solo il postmortem di Tectonic potrà stabilire se in questo caso abbia ceduto il price feed, le impostazioni del collateral o un altro percorso contrattuale.
Cronos ha fermato l'attaccante fermando tutti
La documentazione ufficiale di Cronos afferma che il suo sistema di consenso basato su Tendermint limita la partecipazione ai primi 100 validatori per stake. Un insieme attivo così compatto può coordinare una pausa di emergenza più facilmente di una rete con migliaia di validatori indipendenti.
La stessa azione impedisce però anche agli utenti non coinvolti di trasferire asset, modificare posizioni DeFi o completare transazioni in sospeso. Una risposta a livello di chain non può isolare una singola applicazione di lending; sospende il settlement per l'intero ecosistema. Una conseguenza simile era stata esaminata quando MANTRA ha fermato la propria mainnet durante un separato incidente di sicurezza. In entrambi i casi, l'arresto del registro ha contemporaneamente limitato l'attaccante e gli utenti ordinari.
La struttura dei validatori di Cronos ha dato alla rete un modo per rallentare il presunto furto. Ha anche posto nelle mani di quell'insieme di validatori la decisione su quando riprendere le transazioni.
La posizione della custodia determina ora l'impatto immediato
La pausa della rete ha colpito gli utenti in modo diverso a seconda di dove erano custoditi i loro asset. L'amministratore delegato di Crypto.com, Kris Marszalek, ha dichiarato che l'app centralizzata e l'exchange della società sono rimasti operativi e che i fondi dei clienti non erano stati colpiti.
There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will…
— Kris (@kris) August 30, 2026
Quella rassicurazione riguarda i servizi centralizzati di Crypto.com. Non copre gli asset forniti direttamente a Tectonic, dove gli utenti interagivano con smart contract sulla rete ora ferma.
Il team di sicurezza di Crypto.com sta assistendo le indagini, ma al momento della scrittura né Cronos né Tectonic avevano annunciato un piano di rimborso per i depositanti colpiti.
L'arresto ha impedito alla maggior parte del presunto bottino di uscire immediatamente, ma saranno i primi blocchi dopo il riavvio a determinare se quei fondi resteranno contenuti. Finché Cronos non pubblicherà quel piano, la pausa rappresenta un ritardo, non un recupero completato.
Fonte: Coindoo
