Cronos zette zondag zijn volledige blockchain stil nadat een aanvaller ongeveer $75 miljoen uit Tectonic afhaalde, de grootste geldmarkt van het netwerk. Door de stilstand bleef alles behalve circa $6 miljoen van de gestolen fondsen vastzitten voordat deze de keten konden verlaten — een ingrijpende maatregel voor een keten die wordt gedragen door Crypto.com, maar wel het verschil maakte tussen het beperken van de meeste verliezen tot de keten zelf en het laten verspreiden ervan over het bredere cryptokennerale ecosysteem.

Slechts $6 miljoen bereikte Ethereum voordat Cronos stopte met het produceren van blokken

De aanval was gericht op de prijs van TONIC, het dun verhandelde governance-token van het protocol, aldus on-chain onderzoeker Weilin Li, die als eerste de volgorde van gebeurtenissen op X uiteenzette.

Het token werd in twintig minuten tijd ruwweg honderdmaal opgepompt en vervolgens als onderpand gebruikt om andere echte activa uit het protocol te lenen, zo zei Li.

De eigen parameters van Tectonic kenden TONIC een onderpandfactor van 20% toe, wat betekent dat een storter tot een vijfde van de waarde van het gestorte token kon lenen. Li telde ongeveer 364,6 biljoen TONIC in de aanvalspositie. Het mechanisme weerspiegelt een al langer bekende zwakte in geldmarkten die onderpanden prijzen op basis van dunne spotliquiditeit: wanneer een oracle een token volgt dat goedkoop te verplaatsen is, kan een aanvaller de "waarde" van een positie op papier opblazen en daar echte activa tegen opnemen.

Volgens gegevens van CoinGecko moest die hoeveelheid circa $0.00000103 per token waard zijn om de waargenomen leningen te dragen — ongeveer honderd keer het niveau waarop TONIC vóór de aanval werd verhandeld.

De documentatie van Tectonic had er al voor gewaarschuwd dat activa met een lage liquiditeit kwetsbaar zijn voor precies dit soort prijsmanipulatie. Li vergeleek het incident met de hack van Mango Markets in 2022, waarbij een handelaar een illiquide token opblies en tegen de valse waarde leende.

"We hebben een exploit in Tectonic geïdentificeerd. Het Cronos-netwerk is stilgelegd en we zullen hier updates geven," zo plaatste Cronos Network op X op 30 augustus.

Tectonic riep gebruikers ook op uit de buurt van het protocol te blijven totdat kon worden bevestigd dat de situatie veilig was.

Li schatte het verlies aanvankelijk op ongeveer $66 miljoen en verhoogde dat later naar ruwweg $75 miljoen nadat hij een tweede adres in handen van de aanvaller had getraceerd met nog eens $8 miljoen. Slechts circa $6 miljoen werd naar Ethereum overgezet voordat Cronos stopte met blokken produceren, wat betekent dat het grootste deel van de gestolen activa op de keten bleef waar het was gestolen. Wat er nu met die gestrande fondsen gebeurt — of de keten herstart met de fondsen bevroren, verplaatst of anderszins afgehandeld — is de centrale open vraag, aangezien de coördinatie van validators over het hervatten van de blokproductie doorgaans bepaalt of de aanvaller enige mogelijkheid behoudt om zijn buit te verzilveren.

Volgens DeFiLlama had Tectonic vóór de aanval ongeveer $82.7 miljoen aan actieve leningen en ruwweg $121.7 miljoen aan totale gebonden waarde. De cijfers die Li rapporteerde zijn niet bevestigd door Tectonic of Cronos.

Leenprotocollen kenden 67 exploits op 267 DeFi-incidenten

Crypto.com-topman Kris Marszalek zei in een bericht op X dat de app en de beurs van Crypto.com niet waren aangetast en dat het securityteam van het bedrijf Cronos helpt bij het onderzoek. De blootstelling is beperkt tot de DeFi-app Tectonic, niet tot de beurs van Crypto.com. Tectonic is het eerste leenprotocol op het netwerk en opereert onafhankelijk op Cronos.

CRO daalde in 24 uur tijd ongeveer 10.0% naarmate het nieuws zich verspreidde en noteerde volgens CoinGecko circa $0.055.

Li merkte op dat een aanvaller drie dagen eerder de prijs had gemanipuleerd van het illiquide MAMO-token, waardoor het leenprotocol Moonwell op Base naar schatting $8.7 miljoen verloor. Hij wees ook op een gebeurtenis op 25 augustus, waarbij een dun verhandelde Pendle-markt werd misbruikt voor ruwweg $36 miljoen aan liquidaties op gehefde PT-reUSD-posities op Morpho.

Cryptopolitan rapporteerde in juli over een oracle-aanval op Balance Protocol waarbij een verkeerde prijs werd gevoed, waardoor de BLC-token circa 99% kelderde en ongeveer $912.000 werd weggehaald bij governance-entiteit 42DAO.

In februari bleek uit gegevens dat leenprotocollen in het afgelopen jaar 67 exploits kenden op een totaal van 267 DeFi-incidenten. Alleen al prijsmanipulatie was goed voor 13 aanvallen en ongeveer $65 miljoen aan verliezen.

Cronos heeft niet gezegd wanneer de keten wordt herstart of wat er met de gestrande activa van de aanvaller zal gebeuren.