В воскресенье Cronos остановил весь свой блокчейн после того, как атакующий вывел примерно $75 млн из Tectonic — крупнейшего кредитного рынка сети. Остановка удержала все украденные средства, кроме около $6 млн, прежде чем они смогли покинуть цепочку — drastic-мера для блокчейна, поддерживаемого Crypto.com, но именно она определила разницу между локализацией большинства потерь внутри сети и их рассеиванием по всей криптоэкосистеме.

Лишь $6 млн достигли Ethereum до остановки производства блоков Cronos

Атака была направлена на цену TONIC — слаболиквидного управляющего токена протокола, по словам on-chain исследователя Weilin Li, который первым описал последовательность событий на X.

Цена токена была вздута примерно в 100 раз за 20 минут, после чего он использовался как залог для займа других реальных активов из протокола, сообщил Li.

Собственные параметры Tectonic задавали TONIC коэффициент обеспеченности 20%, то есть вкладчик мог занять до одной пятой стоимости внесённого токена. Li насчитал около 364,6 трлн TONIC в атакующей позиции. Механика повторяет давно известную уязвимость кредитных рынков, оценивающих залог по низкой спотовой ликвидности: когда оракул отслеживает токен, цену которого дёшево сдвинуть, атакующий может завысить «стоимость» позиции на бумаге и вывести под неё реальные активы.

По данным CoinGecko, эта масса токенов должна была стоить около $0,00000103 за штуку, чтобы поддержать наблюдавшийся объём займов — примерно в 100 раз выше цены TONIC до атаки.

Документация Tectonic предупреждала, что активы с низкой ликвидностью уязвимы именно для такого рода манипуляций ценой. Li сравнил инцидент со взломом Mango Markets в 2022 году, когда трейдер вздыбил цену неликвидного токена и занял средства под фиктивную стоимость.

«Мы обнаружили эксплойт в Tectonic. Сеть Cronos была остановлена, и мы будем публиковать обновления здесь», — написал Cronos Network на X 30 августа.

Tectonic также призвал пользователей держаться подальше от протокола, пока не будет подтверждена безопасность ситуации.

Изначально Li оценивал ущерб примерно в $66 млн, затем повысил оценку до около $75 млн после обнаружения второго адреса атакующего ещё с $8 млн. Лишь около $6 млн были переведены на Ethereum до остановки производства блоков Cronos, то есть большинство украденных активов осталось в той цепочке, где их похитили. Что теперь произойдёт с этими заблокированными средствами — перезапустится ли сеть с ними в замороженном, перемещённом или ином состоянии — остаётся центральным открытым вопросом, поскольку координация валидаторов по возобновлению производства блоков обычно определяет, сохранит ли атакующий возможность обналичить добытое.

По данным DeFiLlama, до атаки в Tectonic было около $82,7 млн активных займов и примерно $121,7 млн заблокированной стоимости. Цифры, сообщённые Li, не подтверждены ни Tectonic, ни Cronos.

Кредитные протоколы зафиксировали 67 эксплойтов из 267 инцидентов в DeFi

Главный исполнительный директор Crypto.com Kris Marszalek сообщил в посте на X, что приложение и биржа Crypto.com не были скомпрометированы и что команда безопасности компании помогает Cronos в расследовании. Риск ограничен DeFi-приложением Tectonic, а не биржей Crypto.com. Tectonic — первый кредитный протокол в сети, работающий независимо на Cronos.

По мере распространения новости CRO упал примерно на 10,0% за 24 часа и торгуется около $0,055 по данным CoinGecko.

Li отметил, что тремя днями ранее атакующий манипулировал ценой неликвидного токена MAMO, из-за чего кредитный протокол Base Moonwell потерял около $8,7 млн. Он также указал на эпизод 25 августа, когда слаболиквидный рынок Pendle был использован для ликвидаций примерно на $36 млн по плечевым позициям PT-reUSD на Morpho.

В июле Cryptopolitan сообщал об атаке на оракул Balance Protocol, которая подала искажённую цену, обрушила токен BLC примерно на 99% и вывела около $912 000 у управляющего сообщества 42DAO.

В феврале, по данным, кредитные протоколы зафиксировали 67 эксплойтов за предыдущий год из 267 инцидентов DeFi. Одна лишь манипуляция ценой составила 13 атак и около $65 млн потерь.

Cronos не сообщил, когда перезапустит сеть и что сделает с заблокированными активами атакующего.