Według firmy zajmującej się bezpieczeństwem blockchainu PeckShield adres powiązany z atakiem na Tectonic przeniósł 3 września (UTC) około 2 658,9 ETH o wartości około 6,65 mln dolarów do Tornado Cash. Transakcja stanowi istotną część środków, których nie odzyskano po tym, jak walidatory Cronos przeprowadziły rollback łańcucha w następstwie incydentu z 30 sierpnia.

Cel transferu ma znaczenie wykraczające poza sam Cronos. Tornado Cash pozostaje największym mikserem w sieciach opartych na Ethereum, co czyni tę transakcję istotną dla giełd, śledczych i analityków śledzących skradzione kryptowaluty. Gdy środki przechodzą przez mikser, są rozbijane na mniejsze depozyty zaciemniające łańcuchowe powiązanie między adresami wejściowym i wyjściowym — dlatego śledczy monitorują takie depozyty niemal w czasie rzeczywistym, mimo że odzyskanie środków staje się znacznie trudniejsze.

Środki, których rollback nie sięgnął

Gdy 30 sierpnia ogołcono Tectonic — największą platformę pożyczkową w ekosystemie Cronos — walidatory niemal natychmiast zatrzymały sieć. Cronos podało następnie, że przywróciło łańcuch do stanu sprzed ataku i wznowiło produkcję bloków od bloku numer 90 896 189.

Rollback wymazał niemal wszystkie salda kontrolowane przez atakującego na Cronos, ale nie mógł odwrócić środków, które już trafiły na Ethereum. Ten rozdwojony rezultat uwidacznia strukturalne ograniczenie reakcji na poziomie łańcucha: mogą one powstrzymać szkody w dotkniętej sieci, jednak aktywa przetransferowane na inne łańcuchy przed zatrzymaniem pozostają poza ich zasięgiem.

Według szacunków PeckShield około 74 mln dolarów skradzionych środków można prześledzić na trzech adresach: około 60 mln dolarów w jednym portfelu Cronos, 8 mln w drugim i 6 mln na Ethereum. The Defiant doniosło, że w tamtym momencie saldo na Ethereum wynosiło 2 592,2152 ETH o wartości 6,29 mln dolarów. Dane TRM Labs wskazywały, że atakujący najpierw przeniósł te środki z Cronos za pomocą USDC, a następnie zamienił je na około 2 500 ETH.

Istnieją rozbieżności między szacunkami strat. W tym artykule przyjęto kwotę 75 mln dolarów, opartą na doniesieniach TRM Labs i badacza łańcucha Weilin Li. Liczba około 74 mln dolarów podawana przez PeckShield odzwierciedla zaokrągloną sumę z trzech śledzonych adresów. Szacunek 119,5 mln dolarów pochodzi z szerszej rekonstrukcji na podstawie archiwalnych węzłów, uwzględniającej kontrakt przygotowany przez atakujących przed samym exploittem.

Pump o skali 100x, który wygłowił największego pożyczkodawcę Cronos

Atak wymierzony był w token o niewielkiej głębokości rynkowej. Zdaniem TRM Labs TONIC odnotował jedynie 305 000 dolarów obrotu w tygodniu przed hackiem, mimo 20% współczynnika zabezpieczenia.

Według firmy bezpieczeństwa Halborn atakujący windował cenę TONIC około stukrotnie w ciągu 20 minut, a następnie wykorzystał sztucznie zawyżony token do pożyczenia twardszych aktywów z dziewięciu protokołów pożyczkowych.
Jak wskazywały wcześniejsze doniesienia Cryptopolitan, szacowana strata wzrosła z około 66 mln do około 75 mln dolarów po tym, jak Li zidentyfikował drugi portfel atakującego. Całkowita wartość zablokowana (TVL) w Tectonic spadła z około 121,7 mln dolarów przed hackiem do około 3 mln — według danych DeFiLlama.

Dlaczego depozyt o wartości 6,65 mln dolarów wywołuje fale poza Cronos

Choć depozyt w Tornado Cash jest niewielki na tle całego rynku kryptowalut, jego trasa ma duże znaczenie. TRM Labs podało, że do czerwca 2026 roku Tornado Cash przyjął ponad 700 mln dolarów i pozostawał największym mikserem w sieciach opartych na Ethereum.

TRM udokumentował też jego wykorzystywanie przez grupy ransomware, cyberprzestępców i północnokoreańską grupę Lazarus, jednocześnie zauważając, że protokół służy również legalnym celom prywatności. Amerykański Departament Skarbu usunął Tornado Cash z listy sankcyjnej 21 marca 2025 roku.

Reakcja Cronos wywołała także odrębne pytanie: o finalność transakcji. Halborn stwierdziło, że rollback ograniczył szkody, ale kosztem zaufania do niezmienności rejestru. Cryptopolitan doniosło, że CRO spadł o około 10% w ciągu 24 godzin w początkowej fazie wydarzeń, a CoinMarketCap później powiązał utrzymującą się słabość z exploitem, zatrzymaniem sieci i rollbackiem.

Rekordowy rok ataków opartych na manipulacji cenami

Incydent Tectonic wpisuje się w szerszy trend bezpieczeństwa. PeckShield odnotował 50 dużych hacków w sierpniu, o 67% więcej niż 30 w lipcu, choć łączne straty spadły o 49,5% do 136,3 mln dolarów z 270 mln. Tectonic był największym incydentem sierpnia i plasował się wówczas jako czwarta największa kradzież kryptowalut 2026 roku.

Według TRM Labs exploity oparte na manipulacji cenami osiągnęły w 2026 roku rekord wszech czasów — odnotowano ich dotąd 32.

Podatność nie zawsze tkwi w błędnym kodzie. Gdy słabo notowanemu zabezpieczeniu nadaje się istotną siłę kredytową, atakujący mogą wycelować w cenę, na której opiera się protokół. Tectonic pokazuje, jak szybko takie ryzyko się rozprzestrzenia — od niepłynnego tokena, przez protokół pożyczkowy, po rollback łańcucha i ostatecznie ekosystem międzyłańcuchowego prania środków. Dla platform listujących tokeny zabezpieczające i zespołów rozważających interwencje awaryjne ten epizod pozostawia otwarte pytania, które obie strony będą śledzić, gdy protokoły na nowo oceniają standardy listowania, a śledczy tropią pozostałe zidentyfikowane salda.