Secondo il post-mortem di Cronos, un attaccante ha manipolato le garanzie sul protocollo di lending Tectonic prendendo in prestito 120,4 milioni di dollari su nove mercati, prima che i validatori arrestassero la rete il 30 agosto.

Cronos aveva inizialmente arrestato la produzione di blocchi dopo l'exploit di Tectonic, quando la portata dell'incidente si basava ancora su stime on-chain preliminari. Il post-mortem distingue ora il valore preso in prestito, il valore annullato su Cronos e l'importo uscito dalla rete prima dell'arresto.

Come si è sviluppato l'attacco

La timeline di Cronos mostra la rapidità con cui l'attacco è progredito. L'attaccante ha prima distribuito contratti e manipolato il prezzo di TONIC. Circa 10 minuti dopo, la garanzia gonfiata è stata usata per prendere in prestito 120,4 milioni di dollari su nove mercati.

Il team di rete ha identificato l'attività malevola circa 36 minuti dopo l'inizio dell'attacco. La produzione di blocchi è stata arrestata in seguito al blocco 90.907.150, ma a quel punto 9,19 milioni di dollari erano già usciti da Cronos. L'importo rimasto sulla rete poteva ancora essere annullato; gli asset trasferiti oltre non potevano.

Cronos ha ripreso la produzione di blocchi circa 11 ore dopo l'inizio dell'attacco, usando l'ultimo blocco precedente all'exploit come stato ripristinato.

— Cronos Network (@CronosNetwork) September 8, 2026

Come la garanzia gonfiata di TONIC ha reso possibile il prestito

Tectonic consente agli utenti di depositare garanzie e prendere in prestito contro il loro valore. Cronos ha dichiarato che l'attaccante ha fatto salire il prezzo di TONIC, il token poco scambiato di Tectonic, usando poi il valore gonfiato come garanzia.

Un protocollo di lending calcola la capacità di prestito dal valore dichiarato della garanzia di un utente. Se quel prezzo sale bruscamente, la posizione può sembrare in grado di sostenere un prestito molto più grande, anche quando il mercato sottostante non può sostenere quella valutazione.

Facendo apparire TONIC più prezioso al protocollo, l'attaccante ha aumentato la capacità di prestito della posizione e prelevato asset liquidi da nove mercati di lending. La cifra di 120,4 milioni di dollari si riferisce a quegli asset presi in prestito, non al valore di mercato di TONIC stesso.

Mango Markets ha mostrato un rischio di garanzia simile

La struttura ha un precedente nella manipolazione di Mango Markets del 2022. Secondo la US Commodity Futures Trading Commission, il prezzo del poco scambiato token MNGO è salito di oltre tredici volte in un periodo di 30 minuti. Il valore artificialmente gonfiato delle posizioni dell'attaccante è stato poi usato come garanzia per prelevare più di 110 milioni di dollari in asset digitali.

I due incidenti non erano identici. Mango ha coinvolto mercati spot e perpetui MNGO manipolati, mentre il resoconto di Cronos descrive garanzie TONIC gonfiate usate all'interno dei mercati di lending di Tectonic. Il rischio comune è che una forte oscillazione di un token a bassa liquidità possa creare un potere di prestito ben oltre l'importo realizzabile vendendo quel token sul mercato aperto.

Il rollback ha annullato gli asset ancora su Cronos

I validatori hanno riportato la catena al blocco 90.896.188, l'ultimo blocco prima dell'attacco. La mossa ha annullato circa 111,2 milioni di dollari che non avevano lasciato Cronos e ripristinato i saldi interessati al loro stato precedente all'exploit.

Rollback di questo tipo sono rari nella storia delle blockchain. Il precedente più noto è la risposta di Ethereum al 2016 all'hack del DAO, in cui lo stato della catena è stato di fatto annullato tramite un hard fork contestato — una decisione che ha diviso la community e portato alla creazione di Ethereum Classic. Il rollback di Cronos è stato di portata molto più limitata, riguardando meno di due ore di storia, ma tocca la stessa tensione tra immutabilità e recupero che da allora ha segnato i dibattiti sulla governance delle blockchain.

Una decisione dei validatori su Cronos non può riscrivere transazioni già regolate su un'altra rete. Cronos ha dichiarato che i 9,19 milioni di dollari usciti prima dell'arresto restano fuori dalla portata del rollback, rendendo il recupero dipendente da misure esterne al ripristino della catena.

La risposta ha annullato anche transazioni non correlate

Il rollback ha rimosso 10.961 blocchi dalla storia di Cronos, coprendo 1 ora e 54 minuti. Ogni transazione registrata in quel periodo è stata annullata, incluse quelle non correlate a Tectonic.

Cronos ha dichiarato che i validatori hanno preso la decisione ponderando la finalità che gli utenti si aspettano da una blockchain rispetto al rischio di lasciare gli asset presi in prestito sotto il controllo dell'attaccante. Riavviare senza ripristinare lo stato precedente della catena avrebbe lasciato la posizione intatta.

Le questioni importanti riguardano le fonti di prezzo usate per TONIC, i limiti di garanzia e di prestito applicati agli asset a bassa liquidità e le condizioni in cui il prestito può essere sospeso.

I protocolli di lending possono limitare questo tipo di esposizione attraverso diversi controlli:

• Fattori di garanzia conservativi che limitano quanto si può prendere in prestito contro asset volatili
• Limiti di prestito specifici per asset per token a bassa liquidità come TONIC
• Mercati isolati che contengono il danno a un solo pool
• Interruttori automatici che reagiscono a movimenti anomali dei prezzi

Nessun controllo singolo elimina il rischio di manipolazione degli oracoli, ma queste misure possono limitare quanto valore può essere preso in prestito prima che un prezzo manipolato venga rilevato.

La conferma di quali misure di sicurezza fossero attive, quali abbiano fallito e cosa cambierà fornirebbe una valutazione più chiara sulla possibilità che la stessa via venga usata di nuovo. Il rollback ha ripristinato lo stato della catena, ma non ha di per sé corretto le condizioni che hanno permesso il prestito.

Cosa resta irrisolto

La produzione di blocchi è ripresa e Cronos dichiara che explorer, endpoint RPC pubblici, indicizzatori e subgraph funzionano. La rete sta lavorando con exchange, bridge e altri servizi interessati per riconciliare i loro registri.

Cronos dichiara che gli utenti non devono intraprendere azioni mentre il processo continua. Cronos non ha identificato l'attaccante nel suo post-mortem né spiegato come potrebbero essere recuperati i 9,19 milioni di dollari non recuperati. Il rollback ha risolto gli asset ancora su Cronos; l'importo rimanente dipende dal tracciamento e dal recupero di fondi oltre il controllo della rete. Che Cronos e Tectonic pubblichino i risultati di una revisione dei feed di prezzo e delle impostazioni di garanzia del protocollo, e che il ruolo di TONIC come garanzia venga ridotto, determinerà ciò che l'incidente cambierà oltre ai saldi ripristinati.

Questo articolo ha solo scopi informativi e non costituisce consulenza finanziaria.