Sieć Cronos wstrzymała produkcję bloków po tym, jak exploit wymierzony w Tectonic, jej największy protokół pożyczkowy, postawił w stan ryzyka aktywa o szacunkowej wartości 119,5 mln USD — wynika z analizy on-chain. Atak obejmował manipulację tokenem zarządzającym Tectonic, TONIC, która gwałtownie zawyżyła wartość zabezpieczeń atakującego i umożliwiła wzięcie znacznie większych pożyczek.

Cronos to blockchain kompatybilny z EVM, ściśle związany z Crypto.com, wykorzystujący CRO jako token ekosystemu, a Tectonic to rynek pożyczkowy w stylu Compound i Aave, w którym użytkownicy wpłacają aktywa, aby uzyskiwać dochód i pożyczać pod zabezpieczenie. Ta rola czyni go kluczowym elementem zdecentralizowanego sektora finansowego Cronos, dlatego incydent wywołał reakcję na poziomie całego łańcucha, a nie tylko protokołu.

Tectonic nie potwierdził jeszcze ostatecznego skutku finansowego. Protokół wszczął śledztwo i zalecił użytkownikom unikanie interakcji z platformą do czasu potwierdzenia jej bezpieczeństwa.

Skala incydentu pozostaje niepewna, ponieważ kwota 119,5 mln USD jest szacunkiem on-chain, a nie potwierdzoną stratą. Analiza oparta na archiwalnym węźle Cronos wskazała, że atakujący przez około 65 minut wyprowadził z pul pożyczkowych około 119,5 mln USD.

Ta sama analiza wykazała, że po tej akcji na dotkniętych rynkach pozostało zaledwie około 1,73 mln USD. Zidentyfikowała również 752 likwidacje obejmujące około 8,71 mln USD przejętych aktywów, podczas gdy w protokole rzekomo pozostało około 32,6 mln USD złych długów.

Manipulacja oracle TONIC poszerzyła zdolność pożyczkową

Atak najwyraźniej opierał się na nagłej manipulacji ceną tokena TONIC wykorzystywaną przez protokół pożyczkowy. Dane on-chain pokazały, że atakujący początkowo wpłacił 3091 tokenów TONIC i w tym samym bloku pożyczył 3697 TONIC.

Około 14 sekund później cena oracle TONIC wzrosła w jednym bloku około 6,46 razy. Nagły ruch cenowy znacząco podwyższył raportowaną wartość zabezpieczeń atakującego, umożliwiając dostęp do około 125,6 mln USD zdolności pożyczkowej.

Exploit pokazuje, jak manipulacja danymi cenowymi protokołu pożyczkowego może błyskawicznie zawyżyć wartość zabezpieczeń i umożliwić pożyczanie daleko ponad to, co bazowe aktywa normalnie by umożliwiały. Manipulacja oracle to powracający tryb awarii w zdecentralizowanym kredytowaniu — incydenty takie jak atak na Mango Markets w 2022 roku na Solanie czy exploit BonqDAO w 2023 roku na Polygonie przebiegały według podobnego schematu: sztucznego zawyżenia raportowanej ceny tokena w celu wyciągnięcia pożyczek pod zawyżonym zabezpieczeniem.

Atakujący następnie wyprowadził szeroki wachlarz aktywów z rynków pożyczkowych, w tym około 54,32 mln USD w USDC, 44,87 mln USD w USDT, 95,36 WBTC, 1861 WETH oraz 39,61 mln CRO, a także kilka innych tokenów.

Według analizy on-chain około 75,7 mln USD aktywów trafiło do zewnętrznego portfela, a kolejne 43,7 mln USD na adres kontraktu. Przemieszczanie tych środków i ich obecny status pozostają częścią śledztwa.

Tectonic publicznie odniósł się do incydentu na X:

We are aware of an incident affecting Tectonic and our team is actively investigating. As a precaution, please do not interact with the protocol until we confirm it is safe to do so. We will post a verified update here as soon as we have one.

— Tectonic.cro (@TectonicFi), August 30, 2026 (https://x.com/TectonicFi/status/2094072821630799989)

Blockchain Cronos wstrzymany po eksploicie

Cronos potwierdził, że zidentyfikował exploit obejmujący Tectonic i zawiesił sieć, podczas gdy zespoły ds. bezpieczeństwa badały incydent. W śledztwie uczestniczy także zespół bezpieczeństwa Crypto.com.

Wstrzymanie blockchaina Cronos ograniczyło zdolność atakującego do przemieszczania lub dalszego wykorzystywania aktywów pozostających w sieci, co potencjalnie powstrzymało dodatkowe straty, dopóki śledczy oceniają incydent. Wstrzymania na poziomie sieci to stosunkowo brutalna reakcja, łatwiejsza do przeprowadzenia na łańcuchach o skoncentrowanych zestawach walidatorów, takich jak Cronos, niż na większych sieciach proof-of-stake, powoduje jednak też wstrzymanie całej pozostałej aktywności w łańcuchu.

CEO Crypto.com, Kris Marszalek, oświadczył na X:

There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will…

— Kris (@kris), August 30, 2026 (https://x.com/kris/status/2094081766109982764)

Tectonic osobno ostrzegł użytkowników przed interakcją z protokołem na czas trwania śledztwa. Środek ostrożności ma zapobiec sytuacji, w której dodatkowe transakcje komplikowałyby reakcję lub narażały użytkowników na dalsze straty.

Incydent podniósł również kwestię odporności zdecentralizowanych systemów pożyczkowych, które opierają się na oracle'ach cen tokenów przy określaniu wartości zabezpieczeń i limitów pożyczkowych. Nagłe zniekształcenie ceny oracle może mieć poważne konsekwencje, gdy protokoły pożyczkowe automatycznie dostosowują zdolność pożyczkową do tych wycen. W praktyce bezpieczeństwa DeFi szeroko omawia się środki zaradcze, takie jak korzystanie z wielu niezależnych źródeł oracle, wygładzanie cen w stylu TWAP oraz ostrożne limity zabezpieczeń dla tokenów zarządzających o niskiej płynności — czy takie środki zastosowano wobec TONIC, prawdopodobnie stanie się przedmiotem powypadkowego przeglądu.

Marszalek powiedział, że exploit nie wpłynął na działanie aplikacji ani giełdy Crypto.com i że środki klientów trzymane przez te usługi pozostały bezpieczne.

Na ten moment szacunkowa kwota 119,5 mln USD nie powinna być traktowana jako potwierdzona strata Tectonic. Ostateczna dotknięta kwota, część potencjalnie odzyskiwalna, sposób potraktowania około 32,6 mln USD zgłoszonych złych długów oraz kroki wymagane do przywrócenia działania Cronos pozostają nierozstrzygnięte w miarę postępu śledztwa. Sposób, w jaki protokół potraktuje te złe długi — poprzez pokrycie z funduszu skarbowego, uspołecznienie strat czy inny mechanizm — bezpośrednio wpłynie na pozostałych deponentów po wznowieniu łańcucha.

Ostrzeżenie Tectonic dla użytkowników pozostaje w mocy, a dalsze szczegóły mają się pojawić, gdy śledczy zakończą ocenę exploita i dotkniętych rynków pożyczkowych.