Cronos остановил всю сеть после эксплойта Tectonic на $75 млн

Cronos остановил всю блокчейн-сеть в воскресенье после того, как атакующий взломал Tectonic, крупнейшую кредитную платформу сети, выведя около $75 млн, сообщил CoinDesk. Cronos, запущенный Crypto.com в 2021 году, тесно связан с биржей, которая использует его для более дешёвых транзакций в собственных продуктах, а токен CRO находится в центре этой экосистемы. Tectonic — крупнейшее из небольшого набора кредитных и торговых приложений, которые размещает сеть.

Tectonic работает по принципу дома, заложенного под кредит: пользователи вносят криптовалюту и занимают другие активы под неё. Одним из принимаемых залоговых активов был TONIC, собственный токен Tectonic, с ликвидностью около $1,34 млн и дневным объёмом торгов около $11 000. Собственная документация Tectonic предупреждала, что настолько малоликвидные активы особенно уязвимы для манипуляции ценой.

Ончейн-данные показывают, как именно это предупреждение сработало на практике. Атакующий разогнал цену TONIC примерно в 100 раз за около 20 минут, внёс внезапно подорожавшие токены в Tectonic и занял под них реальные активы. Коэффициент залога TONIC составлял 20%, то есть каждые $100 признанной протоколом стоимости давали право занять около $20 — заём, ставший реальными деньгами в момент, когда скачок цены зафиксировался в сети.

• Размер эксплойта: ~$75 млн
• Разгон цены TONIC: ~в 100 раз за ~20 минут
• TVL Tectonic: $121,7 млн (26 августа) → ~$3 млн (31 августа), по данным DefiLlama
• Коэффициент залога TONIC: 20% ($100 признанной стоимости → ~$20 займа)
• Лимит валидаторов Cronos: 100 — достаточно немного, чтобы скоординировать остановку за минуты
• Прецедент: BNB Chain остановилась после взлома моста в октябре 2022, вернув ~$470 млн из выведенных $570 млн

Ущерб в публичных данных серьёзен сам по себе. У Tectonic было около $121,7 млн в протоколе на 26 августа — почти половина всего капитала, размещённого в DeFi на Cronos, по данным DefiLlama. К понедельнику эта цифра упала примерно до $3 млн.

Cronos смог остановить сеть, потому что её программное обеспечение ограничивает количество валидаторов ста. Валидаторы, субъекты, предоставляющие вычислительные мощности для поддержания сети, оказались в достаточно узком кругу, чтобы скоординировать остановку за минуты. BNB Chain пошла тем же путём в октябре 2022 года: 26 валидаторов приостановили сеть после взлома моста и вернули почти $470 млн из выведенных $570 млн. Этот случай Intokened разбирал в материале про откат сети Harmony после эксплойта на $3 млрд. Компромисс работает в обе стороны: деньги всех остальных тоже перестают двигаться, а сеть, которую можно выключить, — это сеть с ограниченным нейтралитетом.

Cronos — не единичный случай в этом месяце. Похожий эксплойт на прошлой неделе поразил кредитную платформу Moonwell, где атакующий манипулировал ценой малоликвидного залогового токена, но Base, на котором работает Moonwell, продолжила производить блоки, и деньги ушли. Днём ранее движение примерно на 3% на тонком рынке Pendle вызвало ликвидации примерно на $36 млн на Morpho. На фоне многомиллиардных взломов бирж, которые крипторынок пережил в этом году, эксплойты через тонкий залог остаются меньшим и тише звучащим сбоем, но повторяются снова и снова.

Последние публичные посты Tectonic перед воскресеньем, в июне и мае, предупреждали пользователей вывести один актив и снижали лимиты займов под другие — сигналы, которые задним числом выглядят как признаки протокола, уже находящегося под нагрузкой. По состоянию на утро понедельника Cronos и Tectonic не опубликовали ни график перезапуска, ни подтверждённую оценку потерь.

Это не финансовый совет — только информация к размышлению.