Cronos Network ha interrotto la produzione di blocchi dopo che un exploit ai danni di Tectonic, il suo principale protocollo di lending, ha messo a rischio un valore stimato di 119,5 milioni di dollari, secondo un'analisi on-chain. L'attacco ha comportato la manipolazione del token di governance di Tectonic, TONIC, che ha gonfiato drasticamente il valore del collaterale dell'attaccante, consentendo di ottenere prestiti di entità notevolmente superiore.

Cronos è una blockchain compatibile con l'EVM strettamente legata a Crypto.com, che utilizza CRO come token del proprio ecosistema, mentre Tectonic è un mercato di lending in stile Compound e Aave in cui gli utenti depositano asset per generare rendimento e prendere in prestito contro un collaterale. Questo ruolo lo rende un elemento centrale dello stack di finanza decentralizzata di Cronos, motivo per cui l'incidente ha richiesto una risposta a livello di chain anziché solo di protocollo.

Tectonic non ha ancora confermato l'impatto finanziario finale. Il protocollo ha avviato un'indagine e ha invitato gli utenti a non interagire con la piattaforma finché non ne sia stata accertata la sicurezza.

La portata dell'incidente rimane incerta perché la cifra di 119,5 milioni di dollari è una stima on-chain e non una perdita confermata. Un'analisi basata su un nodo di archivio di Cronos ha indicato che l'attaccante ha drenato circa 119,5 milioni di dollari dalle pool di lending in circa 65 minuti.

La stessa analisi ha rilevato che dopo l'attività nei mercati colpiti rimanevano solo circa 1,73 milioni di dollari. Ha inoltre identificato 752 liquidazioni per circa 8,71 milioni di dollari di asset sequestrati, mentre nel protocollo rimarrebbero circa 32,6 milioni di dollari di debito inesigibile.

La manipolazione dell'oracolo di TONIC ha ampliato la capacità di prestito

L'attacco sembra essersi concentrato su un'abrupta manipolazione del prezzo del token TONIC utilizzato dal protocollo di lending. I dati on-chain mostrano che l'attaccante ha inizialmente depositato 3.091 token TONIC e preso in prestito 3.697 TONIC nello stesso blocco.

Circa 14 secondi dopo, il prezzo oracolo di TONIC è aumentato di circa 6,46 volte in un singolo blocco. Il improvviso movimento del prezzo ha notevolmente aumentato il valore dichiarato del collaterale dell'attaccante, consentendo l'accesso a circa 125,6 milioni di dollari di capacità di prestito.

L'exploit dimostra come la manipolazione dei dati di prezzo di un protocollo di lending possa gonfiare rapidamente i valori del collaterale e consentire prestiti ben oltre quanto gli asset sottostanti potrebbero normalmente supportare. La manipolazione degli oracoli è stata una modalità di guasto ricorrente nel lending decentralizzato: incidenti come l'attacco a Mango Markets su Solana nel 2022 e l'exploit di BonqDAO su Polygon nel 2023 hanno seguito uno schema simile, gonfiando artificialmente il prezzo dichiarato di un token per estrarre prestiti contro un collaterale sovrastimato.

L'attaccante ha successivamente prelevato una vasta gamma di asset dai mercati di lending, tra cui circa 54,32 milioni di dollari in USDC, 44,87 milioni di dollari in USDT, 95,36 WBTC, 1.861 WETH e 39,61 milioni di CRO, oltre a diversi altri token.

Secondo l'analisi on-chain, circa 75,7 milioni di dollari di asset sono stati trasferiti a un wallet esterno, mentre altri 43,7 milioni di dollari sono stati indirizzati a un indirizzo di contratto. Il movimento di questi fondi e il loro stato attuale restano parte dell'indagine.

Tectonic ha affrontato pubblicamente l'incidente su X:

We are aware of an incident affecting Tectonic and our team is actively investigating. As a precaution, please do not interact with the protocol until we confirm it is safe to do so. We will post a verified update here as soon as we have one.

— Tectonic.cro (@TectonicFi), August 30, 2026 (https://x.com/TectonicFi/status/2094072821630799989)

La blockchain Cronos fermata a seguito dell'exploit

Cronos ha confermato di aver identificato un exploit coinvolgente Tectonic e di aver sospeso la rete mentre i team di sicurezza esaminano l'incidente. Anche il team di sicurezza di Crypto.com è coinvolto nelle indagini.

La sospensione della blockchain Cronos ha limitato la capacità dell'attaccante di muovere o sfruttare ulteriormente gli asset rimasti sulla rete, potenzialmente contenendo perdite aggiuntive mentre gli investigatori valutano l'incidente. Le interruzioni a livello di rete sono una risposta relativamente drastica e sono più facili da eseguire su chain con insiemi di validatori concentrati come Cronos rispetto alle grandi reti proof-of-stake, sebbene comportino anche la pausa di ogni altra attività sulla chain.

L'amministratore delegato di Crypto.com, Kris Marszalek, ha dichiarato su X:

There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will…

— Kris (@kris), August 30, 2026 (https://x.com/kris/status/2094081766109982764)

Tectonic ha inoltre invitato separatamente gli utenti a non interagire con il protocollo mentre le indagini continuano. La misura precauzionale mira a impedire che transazioni aggiuntive complicino la risposta o espongano gli utenti a ulteriori perdite.

L'incidente ha anche sollevato interrogativi sulla resilienza dei sistemi di lending decentralizzati che si affidano a oracoli di prezzo dei token per determinare i valori del collaterale e i limiti di prestito. Un'improvvisa distorsione del prezzo di un oracolo può avere conseguenze significative quando i protocolli di lending adeguano automaticamente la capacità di prestito in base a tali valutazioni. Mitigazioni come l'utilizzo di molteplici fonti oracolo indipendenti, la levigatura dei prezzi in stile TWAP e limiti di collaterale prudenti per i token di governance a bassa liquidità sono ampiamente dibattute nelle pratiche di sicurezza DeFi, e stabilire se tali misure fossero applicate a TONIC sarà probabilmente un punto centrale della revisione post-incidente.

Marszalek ha affermato che l'exploit non ha interessato le operazioni di app ed exchange di Crypto.com e che i fondi dei clienti detenuti tramite tali servizi rimangono al sicuro.

Per ora, la stima di 119,5 milioni di dollari non deve essere trattata come perdita confermata di Tectonic. L'entità finale della somma colpita, la parte potenzialmente recuperabile, la gestione dei circa 32,6 milioni di dollari di debito inesigibile dichiarato e i passaggi necessari per ripristinare le operazioni di Cronos rimangono questioni irrisolte mentre le indagini procedono. Il modo in cui il protocollo tratterà tale debito inesigibile — attraverso copertura da tesoreria, perdite socializzate o un altro meccanismo — inciderà direttamente sui depositanti rimasti una volta che la chain riprenderà.

L'avviso di Tectonic agli utenti rimane in vigore, con ulteriori dettagli attesi al completamento della valutazione dell'exploit e dei mercati di lending colpiti da parte degli investigatori.