Cronos pozastavil provoz sítě po zneužití chyby „Tectonic“ v hodnotě 75 milionů dolarů

Dilema validátorů: restart nebo vrácení řetězce

Síť Cronos, blockchain vrstvy 1 kompatibilní s Ethereum Virtual Machine, v pondělí potvrdila, že síť zůstává pozastavena do doby, než bude dokončeno vyšetřování zneužití protokolu Tectonic, peněžního trhu v řetězci. Nejnovější informace přišla více než 12 hodin poté, co Cronos incident poprvé potvrdil; během něj útočník údajně odcizil z protokolu přes 75 milionů dolarů.

Ačkoli Cronos nezveřejnil finanční dopad ani časový harmonogram obnovení provozu, provozovatel sítě uvedl, že na vyšetřování zneužití spolupracuje s odborníky na kyberbezpečnost. Mezitím spoluzakladatel Glyde Jeremy v příspěvku na platformě X tvrdil, že se útočníkovi zatím podařilo odčerpat pouze 6 milionů dolarů. Cronos však čelí zásadnímu dilematu: Udržení sítě v pozastaveném stavu brání útočníkovi v přesunu nelegálních prostředků, ale obnovení tvorby bloků by mohlo umožnit převod zbývajících ukradených aktiv.

„Útočník během 20 minut 100násobně nafoukl cenu tokenu a poté si na základě této falešné hodnoty vzal půjčku, aby vše vybral,“ napsal Jeremy na platformě X. „Cronos, řetězec vybudovaný společností Crypto.com, zmrazil veškerou aktivitu uprostřed útoku, čímž uvěznil 60 MILIONŮ dolarů z ukradených prostředků, než stačily uniknout. Ven se dostalo pouze 6 MILIONŮ dolarů. Nyní musí validátoři rozhodnout: restartovat řetězec a nechat mu je, nebo provést rollback.“

Generální ředitel Crypto.com Kris Marszalek potvrdil, že burza spolupracuje při vyšetřování. Upřesnil, že Crypto.com nebyl tímto útokem zasažen a že prostředky uživatelů zůstávají v bezpečí.

Mezitím společnost Tectonic, která se pyšní tím, že je největším peněžním trhem na Cronosu, rovněž potvrdila útok a doporučila uživatelům pozastavit aktivitu v protokolu, dokud nebude obnovena bezpečnost. V době psaní tohoto článku vzrostl nativní token společnosti Tectonic za posledních 24 hodin o 85 %.

Odborník na kryptoměny Awoo poskytl další rozbor útoku a vysvětlil, že exploit spočíval v manipulaci s údaji o spotových cenách, nikoli v tradiční chybě v kódu nebo kompromitaci klíče. Podle Awoo utratil útočník zhruba 600 000 dolarů na nákup 16 bilionů tokenů TONIC ve třech likviditních fondech, čímž cenu uměle zvýšil přibližně 40krát.

Po provedení testovacích transakcí útočník vložil uměle nafouknuté TONIC jako kolaterál, aby si vypůjčil téměř 120 milionů dolarů ve stablecoinech, bitcoinech, etheru a CRO, než validátoři záměrně zastavili tvorbu bloků.

„Nic zde nebylo ‚hacknuto‘,“ napsal Awoo. „Nebyl ukraden žádný klíč, nebyl otevřen žádný zámek. Tectonic udělal přesně to, k čemu byl vytvořen – přečetl cenu z tenkého fondu a uvěřil jí. Pokud váš protokol čte spotovou cenu přímo z trhu, který někdo může ovlivnit, je tato cena na prodej.“

Awoo dodal, že dobrovolné zmrazení ze strany validátorů podtrhuje klíčové strukturální kompromisy, a poznamenal, že „řetězec, který mohou jeho validátoři vypnout, je něco úplně jiného než ten, u kterého to není možné.“