Взлом Tectonic: Cronos остановила сеть после атаки на $75 млн

Взлом Tectonic привел к остановке блокчейна Cronos 30 августа. По предварительной оценке ончейн-исследователя Вэйлина Ли, атака затронула активы примерно на $75 млн.

При этом сама биржа Crypto.com не была взломана. Генеральный директор компании Крис Маршалек сообщил, что приложение и биржа продолжают работать, а команда безопасности помогает расследовать инцидент.

Cronos полностью остановила производство блоков

Cronos Network сообщила об обнаружении эксплойта в кредитном протоколе Tectonic. После этого валидаторы остановили производство блоков.

Команда Tectonic также подтвердила инцидент. Разработчики попросили пользователей временно не взаимодействовать с протоколом до завершения проверки безопасности.

Таким образом, проблема одного DeFi-протокола привела к остановке всей сети. Пользователи Cronos временно лишились возможности проводить обычные транзакции и взаимодействовать со смарт-контрактами.

На момент последнего доступного обновления Cronos не объявила точное время перезапуска. Кроме того, команда пока не опубликовала полный технический отчет об атаке.

Crypto.com заявила, что биржа не пострадала

Cronos тесно связана с Crypto.com, однако это не одно и то же.

Cronos была изначально разработана при участии Crypto.com и остается частью связанной с компанией экосистемы. Tectonic, в свою очередь, представляет собой отдельный DeFi-протокол кредитования в сети Cronos.

Крис Маршалек отдельно подчеркнул, что Crypto.com App и Crypto.com Exchange не были скомпрометированы. Официальная страница состояния сервиса также не фиксировала связанного с атакой сбоя 30 августа.

Однако это заявление нельзя распространять на средства пользователей Tectonic. Пока неизвестно, какой объем активов протокола удастся восстановить.

Кроме того, ни Tectonic, ни Cronos пока не объявили механизм компенсации возможных потерь пользователей.

Как произошел взлом Tectonic

Предварительную версию атаки представил ончейн-исследователь Вэйлин Ли.

По его данным, злоумышленник использовал низкую ликвидность токена управления TONIC. Сначала атакующий резко разогнал его рыночную стоимость.

Цена TONIC выросла примерно в 100 раз всего за 20 минут. Затем искусственно подорожавшие токены использовали как обеспечение для получения займов в Tectonic.

Таким образом, протокол оценивал залог значительно дороже его реальной ликвидной стоимости. После этого злоумышленник смог занять более ликвидные активы.

Механизм напоминает знаменитую атаку на Mango Markets в 2022 году. Там преступник также манипулировал ценой малоликвидного токена перед получением крупных займов.

Почему TONIC оказался уязвимым залогом

Tectonic разрешал использовать TONIC в качестве обеспечения.

Коэффициент залога для токена составлял 20%. Иными словами, пользователь мог занимать активы стоимостью до пятой части оценочной стоимости внесенного TONIC.

Сам по себе такой коэффициент выглядит консервативным. Однако проблема возникла из-за низкой ликвидности токена.

Если цену малоликвидного актива можно резко поднять небольшим объемом покупок, то значение залога на бумаге способно сильно отличаться от суммы, которую реально можно получить при его продаже.

Именно этот разрыв, по предварительной версии, и позволил провести атаку.

Ущерб вырос с $66 млн до $75 млн

Первоначально Вэйлин Ли оценил затронутые активы примерно в $66 млн.

Позднее исследователь обнаружил еще один адрес, который он связал с атакующим. На нем находились активы примерно на $8 млн.

После этого оценка выросла примерно до $75 млн. Однако Tectonic пока не подтвердила ни окончательную сумму, ни корневую причину эксплойта.

Поэтому цифру $75 млн правильнее называть предварительной оценкой. После завершения расследования она может измениться.

Большая часть активов осталась внутри Cronos

Остановка сети существенно изменила развитие атаки.

По данным Вэйлина Ли, злоумышленник успел перевести через мост в Ethereum только около $6 млн. Большая часть связанных с атакой активов осталась внутри Cronos.

Исследователь оценивал оставшуюся в сети сумму примерно в $60 млн.

Таким образом, остановка производства блоков не отменила сам эксплойт. Однако она ограничила возможность атакующего продолжить перемещение средств.

Теперь один из главных вопросов заключается в том, что произойдет с этими активами после восстановления сети.

До атаки в Tectonic находилось около $122 млн

Tectonic был крупнейшим кредитным протоколом Cronos.

Перед инцидентом его TVL составлял примерно $121,7 млн. Кроме того, объем активных займов находился около $82,7 млн.

Следовательно, предварительная оценка атаки очень велика относительно размера самого протокола.

По некоторым данным, Tectonic обеспечивал около 46% всей стоимости, заблокированной в DeFi-приложениях Cronos.

Поэтому последствия могут оказаться значительными не только для Tectonic, но и для всей DeFi-экосистемы сети.

Почему остановка Cronos вызвала отдельную дискуссию

Решение валидаторов остановить блокчейн позволило ограничить движение похищенных активов. Однако одновременно оно вновь подняло вопрос о децентрализации сетей.

Публичный блокчейн обычно ценят за невозможность для одной стороны самостоятельно остановить расчеты. Однако в кризисной ситуации быстрая координация валидаторов способна уменьшить размер потерь.

Таким образом, здесь возникает очевидный компромисс.

Чем проще валидаторам согласовать экстренную остановку, тем эффективнее сеть может реагировать на крупную атаку. С другой стороны, сама возможность подобного решения показывает уровень координации внутри консенсуса.

Cronos использует архитектуру на базе Cosmos SDK и Tendermint-подобного консенсуса. Поэтому согласованная остановка валидаторов технически возможна.

BNB Chain уже применяла похожий подход

У индустрии уже есть похожие примеры.

В октябре 2022 года BNB Chain временно остановила сеть после атаки на BSC Token Hub. Тогда злоумышленник создал активы примерно на $570 млн.

Валидаторы приостановили блокчейн и ограничили дальнейшее перемещение значительной части средств. Позже сеть возобновила работу после обновления.

Однако сценарий Cronos может отличаться.

Пока неизвестно, решат ли разработчики просто восстановить сеть, заблокировать определенные адреса или предложат другой технический механизм.

Поэтому любые заявления о будущем возврате примерно $60 млн пока преждевременны.

Что будет с пользователями Tectonic

Это остается главным нерешенным вопросом.

Если оценка атаки подтвердится, Tectonic придется определить фактический дефицит активов после завершения расследования.

Кроме того, необходимо установить, какую часть связанных с атакой средств можно вернуть. Особенно важна судьба активов, которые остались внутри остановленной сети.

Пока команда не сообщала о гарантированной компенсации вкладчикам. Поэтому говорить, что «все средства пользователей находятся в безопасности», можно только применительно к клиентам Crypto.com в контексте заявления Маршалека.

Для пользователей самого Tectonic ситуация остается неопределенной.

Что это значит для инвестора?

Взлом Tectonic показывает один из ключевых рисков DeFi-кредитования — использование малоликвидных токенов в качестве залога.

Даже низкий коэффициент обеспечения не гарантирует безопасность. Если источник цены можно существенно изменить за короткое время, протокол способен принять искусственно завышенную стоимость актива.

Кроме того, инвестору важно различать Crypto.com, Cronos и Tectonic. Проблема одного протокола не означает автоматический взлом централизованной биржи.

При этом остановка всей Cronos показывает другой риск. Пользователь может иметь полностью безопасную позицию в другом приложении сети, но временно потерять возможность управлять ею из-за остановки блокчейна.

Поэтому при оценке DeFi-проекта стоит смотреть не только на доходность. Важны ликвидность залоговых активов, устройство ценовых оракулов и архитектура самой сети.

Вывод Expert Finance: атака на Tectonic показала, насколько опасным может стать сочетание малоликвидного залога и кредитного протокола. Остановка Cronos помогла заблокировать большую часть средств внутри сети, однако окончательный ущерб и судьба активов пока неизвестны.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.