Blockchain Cronos został zatrzymany po tym, jak napastnik zaatakował Tectonic, największy protokół pożyczkowy sieci, w incydencie szacowanym na około 75 milionów dolarów w aktywach. Tectonic działa na Cronos, łańcuchu zgodnym z Ethereum Virtual Machine, uruchomionym w 2021 roku przez Crypto.com, i funkcjonuje podobnie do platform pożyczkowych takich jak Compound i Aave, gdzie użytkownicy wpłacają aktywa i pożyczają pod zabezpieczenie.

Atak polegał według doniesień na manipulacji ceną słabo notowanego tokenu TONIC z Tectonic, która została podniesiona niemal stukrotnie w ciągu około 20 minut. Napastnik użył następnie sztucznie zawyżonych tokenów jako zabezpieczenia, aby pożyczyć z protokołu bardziej płynne aktywa.

Przed atakiem Tectonic posiadał około 121,7 miliona dolarów całkowitej wartości zablokowanej (TVL), z czego około 82,7 miliona dolarów stanowiły aktywne pożyczki. Po eksploicie TVL protokołu spadła do około 3 milionów dolarów.

Walidatory Cronos szybko wstrzymały produkcję bloków, pozostawiając większość środków powiązanych z atakiem uwięzionych w sieci. Według doniesień jedynie około 6 milionów dolarów przeniesiono przez most do Ethereum przed zamknięciem sieci. Możliwość skoordynowania zatrzymania przez walidatory uwidacznia kompromis w tego typu sieciach: centralna interwencja może ograniczyć straty w kryzysie, ale pozostaje w sprzeczności z bezzaufaniowym modelem działania, który mają zapewniać systemy DeFi. Warto zauważyć, że Ethereum i inne duże sieci proof-of-stake nie mają mechanizmu pozwalającego walidatorom jednostronnie wstrzymać łańcuch w ten sposób.

Incydent podkreśla powracającą podatność w decentralized finance (DeFi): słabo notowane tokeny mogą stać się niebezpiecznym zabezpieczeniem, gdy protokoły pożyczkowe opierają się na cenach rynkowych podatnych na manipulację. Manipulacja źródłem cen (price oracle) była czynnikiem w wielu wcześniejszych eksploitach DeFi, w których napastnicy zawyżali zgłaszaną wartość aktywa o niskiej płynności, aby pożyczyć pod nie bardziej płynne środki.

Tectonic nie potwierdził ostatecznych strat ani pierwotnej przyczyny eksploitu, a Cronos nie ogłosił, kiedy sieć wznowi działanie. Crypto.com, firma, która zbudowała blockchain Cronos, poinformowała, że jej scentralizowana giełda i aplikacja nie zostały dotknięte incydentem.

Źródło: BitcoinKE