Cronos stilgelegd na exploit bij Tectonic: naar schatting $75 miljoen buitgemaakt

Cronos stopte zondag 30 augustus met het produceren van blocks na een exploit bij Tectonic, het grootste leenprotocol op het netwerk. In de melding over de stillegging stond: “We hebben een exploit bij Tectonic geconstateerd. Het Cronos-netwerk is stilgelegd en we zullen hier updates geven.” Het artikel van Decrypt bevat die melding naast de on-chain cijfers achter het incident.

On-chain-onderzoeker Weilin Li schatte het verlies op ongeveer $75 miljoen. Daarvan ging ongeveer $6 miljoen naar Ethereum voordat Cronos bevroor; de rest — geschat op zo’n $60 miljoen — zit geïmmobiliseerd vast op de stilgelegde chain. Tot maandag 31 augustus hadden noch Cronos noch Tectonic een tijdlijn voor herstart gepubliceerd of aangegeven of deposanten volledig schadeloos gesteld zouden worden.

Dat onderscheid is op dit moment belangrijk voor gebruikers. Deposanten bij Tectonic kunnen dit niet behandelen als een gewone pauze van een protocol. Tegoeden op Cronos zitten vast terwijl validators onderzoek doen, en Tectonic heeft deposanten geadviseerd niet met het protocol te interacteren totdat is bevestigd dat dit veilig is — waardoor leners, uitleners en houders van aan het protocol gekoppelde assets blijven zitten met een onopgeloste vraag over toegang en herstel, zonder gepubliceerd antwoord.

Via Tectonic kunnen gebruikers crypto storten zodat anderen daartegen kunnen lenen met onderpand, waarbij deposanten rente ontvangen. Het was het eerste leenprotocol dat op Cronos lanceerde en houdt bijna de helft van het op het netwerk in DeFi-apps gestorte kapitaal aan. De op een na grootste uitlener op het netwerk, Mimas Finance, houdt ongeveer $30.000 aan.

Bij de gemelde aanval werd het governance-token van Tectonic, TONIC, gebruikt als financieringspunt voor een koersmanipulatie-transactie. Li omschreef het als een “pump-and-borrow koersmanipulatie-aanval in Mango Markets-stijl”. TONIC steeg binnen 20 minuten honderdvoudig voordat de aanvaller er tegen leende.

Tectonic had TONIC een collateral factor van 20% toegekend, ondanks zeer dunne liquiditeit. De liquiditeit van TONIC bedroeg ongeveer $1,34 miljoen tegenover een dagelijks handelsvolume van circa $11.000, aldus CoinDesk.

Li schatte de buit aanvankelijk op $66 miljoen, en stelde dat later bij naar ongeveer $75 miljoen nadat een tweede, door de aanvaller gecontroleerd adres met $8 miljoen werd geïdentificeerd. Beveiligingsbedrijf PeckShield kwam uit op een vergelijkbaar bedrag, ongeveer $74 miljoen. Beide zijn schattingen van derden; Cronos en Tectonic hebben geen bevestigd verliesbedrag gepubliceerd.

De balans laat zien wat er met het protocol zelf is gebeurd. Tectonic had vlak voor de exploit ongeveer $121,7 miljoen aan deposito’s en $82,7 miljoen aan actieve leningen. Tegen maandag waren de deposito’s gedaald tot ongeveer $3 miljoen — een daling van 97,5%, berekend op basis van het gerapporteerde cijfer van vóór het incident. In hoeverre die daling het gevolg is van opnames, de exploit zelf, of boekhoudkundige wijzigingen tijdens de stillegging, is niet vastgesteld.

De dominantie van Tectonic op Cronos is ook de reden waarom het falen van één leen-app doorwerkte tot op het niveau van de hele chain. Cronos werkt met een beperkte groep van 100 validators, klein genoeg om snel gezamenlijk tot een stillegging te besluiten, en in dit geval leidde een exploit bij één enkel protocol ertoe dat de blockproductie op het hele netwerk stopte, waardoor tegoeden en transacties ver buiten Tectonic om bevroren raakten.

Cronos werd in 2021 gelanceerd door Crypto.com.

Die laatste zin heeft specifiek betrekking op de app en de exchange van Crypto.com. Ze zegt niets over de status van tegoeden die zijn gestort bij Tectonic of andere assets die op Cronos worden aangehouden terwijl de chain stilligt.

Het incident past ook in een patroon in de recente geschiedenis van Tectonic. Een fout in de protocollogica in februari 2024 leidde tot een verlies van $250.000; een ander incident in november 2024 werd eveneens geclassificeerd als een fout in de protocollogica. Dit incident is qua omvang wezenlijk anders — de aanvankelijke schatting van $66 miljoen is inmiddels bijgesteld naar ongeveer $75 miljoen.

Van de betrokken middelen bereikte ongeveer $6 miljoen Ethereum voordat de stillegging plaatsvond. Ongeveer $60 miljoen blijft geïmmobiliseerd op Cronos. Een veiligheidsbevestiging van Tectonic en een door validators gedragen herstartplan van Cronos zijn de twee concrete gebeurtenissen die het beeld voor getroffen gebruikers zouden veranderen. Geen van beide was op maandag 31 augustus gepubliceerd.