8月30日の発表によると、Crypto.comと関連するブロックチェーンエコシステムであるCronosネットワークは、Cronosブロックチェーン上で暗号資産の貸し借りを可能にする分散型金融プロトコルTectonicへの攻撃への対応として、運転を停止しました。

Tectonicはインシデント対応中であることを確認し、調査の間、ユーザーにプロトコルとのやり取りを控えるよう求めました。プロジェクト側は、調査で新たな情報が得られ次第、検証済みの最新情報を共有すると述べました。報道時点では、関与した脆弱性の詳細や損失の規模については明らかにされていません。

2021年後半にCronos上で開始されたTectonicは、エコシステムで最も長く稼働しているDeFiプロトコルの一つで、CompoundやAaveと同様に、金利が需給に基づきアルゴリズムで決定されるモデルを採用しています。その総預かり額(TVL)は、ネットワーク内でも大手の貸出プラットフォームの一つとなっていました。

Tectonicでは、ユーザーは暗号資産を供給して利息を得る、または担保をロックして対応資産を借り入れることができます。プロトコルのネイティブトークンであるTONICはガバナンスなどの用途に使われ、保有者はxTONICとしてステーキングしてプロトコル収益に参加できます。

オンチェーン研究者Awooの予備分析によると、攻撃者はTONICトークンの価格を操作した後、その過大評価された価値を担保としてプロトコルから資金を借り入れたとみられます。

https://twitter.com/awoocronos/status/2094079412266238055?s=20

攻撃者は約60万ドルのUSDCとCROを使い、3つのVVSプールにわたって約16兆TONICを購入し、トークン価格を約40%上昇させたとされています。VVS FinanceはCronosの基幹分散型取引所であり、その流動性プールはエコシステム内トークンの主要な取引場所となっています。その後、これらのトークンは500万ドルのUSDCとともにTectonicに預け入れられました。

2回のテスト融資を実行した後、攻撃者は単一トランザクションで約1億2,000万ドルを流出させ、USDC、USDT、WBTC、WETH、CROを持ち去ったと報じられています。Awooの推定では、攻撃者はこの作戦の実行に自己資金約560万ドルを費やし、その後、追随トレーダーが約200万ドルを引き出したとされています。

担保として使われる資産の価格を操作し、預け入れた額を超える価値を引き出す手口は、DeFi貸出プロトコルに対する繰り返し見られる攻撃パターンであり、通常は流動性の低いプールを通じて歪めうる価格フィードにプロトコルが依存していたことを示唆します。Tectonicのオラクルや担保掲載方針が関与したかどうかは、調査で明らかにされるべき事項です。

ネットワーク全体を停止する判断は、分散型として宣伝されるネットワークにとって注目すべきものであり、過去に他のパブリックブロックチェーンで発生した高額の攻撃の際に、攻撃者資金の移動を阻止するためオペレーターがブロック生成を停止した協調的なバリデーターの対応を想起させます。また、このネットワークが取引所によって孵化されたプロジェクトであることを踏まえると、Crypto.comとそのパートナーがCronosエコシステムに対して保持している運営上の影響力も浮き彫りにしています。

声明の中で、Crypto.comのKris MarszalekCEOは、この侵害がCrypto.comのメインアプリや取引所には影響しなかったと強調しました。Marszalek氏はすべての資金は安全であり、詳細が判明し次第追加情報を提供すると述べました。また、Tectonic侵害の調査完了後、完全な報告書を公表することを約束しました。

There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will… — Kris (@kris) August 30, 2026