Cronos stoppede hele sin blockchain for at stoppe en udnyttelse på 75 millioner dollars

Cronos, lag-1-kæden bygget af Crypto.com, stoppede produktionen af blokke søndag den 30. august. En angriber havde netop drænet titusindvis af dollars fra Tectonic, netværkets største udlånsprotokol, og validatorer trak stikket ud af hele kæden for at stoppe blødningen. To dage senere er selve angrebet næsten den mindste af to historier. Den største er, hvad det betyder, at en "decentraliseret" blockchain kan slukkes.

Cronos bekræftede hændelsen på X og sagde, at de havde identificeret en udnyttelse i Tectonic og stoppet netværket, mens de undersøgte sagen. Tectonic, der havde omkring 121,7 millioner dollars i indlån og 82,7 millioner dollars i lån før angrebet, tæt på halvdelen af alt, der var låst i Cronos DeFi, bad brugerne om at holde sig væk fra protokollen, indtil de kunne bekræfte, at alt var sikkert. Mandag viste DefiLlamas dashboard, at Tectonics samlede låste værdi var kollapset til omkring 3 millioner dollars.

Hvordan gjorde angriberen det?

Mekanismen var ikke en brudt smart kontrakt. Det var en forkert prissat risikoparameter. On-chain-forsker Weilin Li skitserede sekvensen i en X-tråd: TONIC, Tectonics egen governance-token, blev handlet med kun omkring 1,34 millioner dollars i likviditet og cirka 11.000 dollars om dagen i volumen, og alligevel tillod protokollen stadig folk at låne mod den med en sikkerhedsfaktor på 20%. På cirka 20 minutter pumpede angriberen TONICs pris op omkring 100 gange, deponerede de oppustede tokens som sikkerhed og lånte reelle aktiver mod et tal, som markedet faktisk aldrig accepterede.

Det er en playbook, kryptovalutaer har set før. Li markerede mønsteret som et "Mango-marked-lignende" pump-and-borrow, en hentydning til Mango Markets-exploitet på omkring 100 millioner dollars fra oktober 2022, og bemærkede, at dette var den tredje version af det samme trick, han havde sporet for nylig, efter et hit på 8,7 millioner dollars på Moonwells MAMO-marked og en separat reUSD/Pendle-hændelse. Illikvide governance-tokens bliver ved med at blive opført som sikkerhedsstillelse, og angribere bliver ved med at bemærke det, før protokollerne gør.

Ingen er enige om det præcise tal

Lis estimat ændrede sig to gange: først omkring 66 millioner dollars, derefter tættere på 75 millioner dollars, da han fandt en anden angriber-tilknyttet pung med omkring 8 millioner dollars mere. PeckShield landede uafhængigt af hinanden tæt på 74 millioner dollars. En tredje forsker, der fulgte Hajedan, havde en helt anden tilgang og lagde bruttogældningen på tværs af Tectonics 16 markeder sammen og nåede frem til 124.963.890 dollars, hvoraf han beregnede, at 99,91% tilhørte angriberen. Han fandt omkring 110,5 millioner dollars, der stadig var på Cronos, og omkring 7,8 millioner dollars, som han ikke kunne placere. Hverken Cronos eller Tectonic har offentliggjort et officielt tabstal.

Ingen af disse tal modsiger faktisk hinanden. De måler forskellige ting: nettoflytning af midler, bruttogældning, tegnebøger, der er tilskrevet indtil videre. Værd at huske på næste gang en overskrift vælger ét tal og præsenterer det som en fast kendsgerning.

Det, der er nogenlunde afklaret, er, hvor pengene befinder sig. Lookonchain sporede omkring 6,29 millioner dollars overført til Ethereum og byttet til 2.592 ETH, før kæden frøs. Resten, et sted mellem 60 millioner og 69 millioner dollars, afhængigt af hvilken tracker man stoler på, kom aldrig væk fra Cronos.

Stoppet er den del, folk rent faktisk diskuterer

Cronos kører på en Tendermint-baseret Cosmos SDK-kæde med et valideringssæt på 100, hvilket er lille nok til at koordinere et nødstop inden for få minutter. Det er præcis, hvad der skete, og det er også præcis, hvad der splitter fællesskabet nu. En Cronos-bruger, der skrev som TurtleonCro, udtrykte det omtrent lige så retfærdigt som nogen anden: pausen beskyttede virkelig folk mod yderligere tab, og den beviste også, at en lille gruppe validatorer kan fryse enhver tegnebog på kæden, uanset om den tegnebog nogensinde har rørt Tectonic eller ej. Begge ting er sande, og ingen af dem ophæver den anden. En mindre, mere højlydt gruppe er gået videre og argumenterer for, at dette ikke engang bør kaldes et hack, da angriberen ikke brød nogen kode, men bare fulgte protokollens egne offentliggjorte regler til deres logiske, grimme konklusion.

Crypto.coms administrerende direktør, Kris Marszalek, udtalte sig om hændelsen på X samme dag og forklarede, at børsens app og centraliserede platform var uændret, og at en fuldstændig obduktion ville følge. "Alle midler er sikre," skrev han, en påstand, der er værd at adskille fra den indefrysning på kædeniveau: Cronos og Crypto.coms børs er forskellige systemer, og nedlukningen rørte aldrig børsens saldi.

Tilbage online, spørgsmål stadig åbne

Validatorer gendannede blokproduktionen kl. 23:49 UTC samme nat, rullede kædens tilstand tilbage til et snapshot taget før udnyttelsen og genoptog fra blok 90.896.189. Nodeoperatører blev bedt om at opdatere til v1.7.8 og hente de offentliggjorte mainnet-snapshots. Cronos kaldte rollback'en og stoppede en validator-konsensus nødhandling, der blev truffet for at beskytte brugerne, og sagde, at en fuld obduktion ville være på vej.

I skrivende stund er denne efterforskning endnu ikke gennemført, og det er der heller ikke nogen kompensationsplan for Tectonic-indskydere. Omkring 32,6 millioner dollars i dårlig gæld forbliver angiveligt inden for protokollen, oven i omkring 8,71 millioner dollars i likvidationer, der blev udløst under selve angrebet. CRO faldt med så meget som 10% intradag på nyheden og handlede tæt på $0,055 til $0,056 på en token, der allerede var ved at glide ind i weekenden.

Kontekst der betyder noget her

2026 har ikke været venligt for DeFi-udlån. Brancheanalytikere tæller 67 udlånsprotokol-angreb blandt 267 i alt DeFi-hændelser i år, hvilket bringer sektorens tab over 1,26 milliarder dollars. Tectonics kollaps passer ind i et mønster, der bliver ved med at gentage sig: udnyttelsen starter sjældent med en brudt kontrakt. Det starter med en sikkerhedsparameter, som ingen stresstestede mod en token, som ingen rigtig handlede med.