Pinatay ng Cronos ang buong blockchain nito noong Linggo upang pigilan ang isang pag-atake sa DeFi lending protocol na Tectonic, na nagpapatigil sa bawat posisyon sa network sa proseso.

Pinahihintulutan ng Tectonic ang mga user na magdeposito ng crypto para makahiram ang iba laban sa ipinost na collateral, na kumikita ng interes bilang kapalit. Ito ang unang protokol na inilunsad sa Cronos at nananatiling pinakamalaki, na may hawak na halos kalahati ng lahat ng kapital na idineposito sa mga DeFi app ng network. Ang susunod na pinakamalaking lender sa chain, ang Mimas Finance, ay may hawak na humigit-kumulang $30,000, ayon sa DefiLlama.

Sa isang tweet, sinabi ng Cronos na "nakilala nila ang isang pagsasamantala" sa Tectonic, idinagdag na pinahinto nila ang Cronos Network at magbibigay ng mga update. Makalipas ang isang araw ay kinumpirma nito na pinahinto pa rin ang chain, sinabing iniimbestigahan nila "sa suporta mula sa mga security team sa buong industriya."

Inilarawan ng onchain researcher na si Weilin Li ito bilang isang "Mango-market style pump-and-borrow price manipulation attack," isang pagtukoy sa $100 milyong pagsasamantala sa Mango Markets noong Oktubre 2022. Sumirit ang presyo ng TONIC ng 100-fold sa loob ng 20 minuto, aniya, bago humiram ang umaatake laban dito.

Ang ugat ng problema, ayon kay Li, ay simple: Inilaan ng Tectonic ang sarili nitong governance token ng 20% collateral factor sa kabila ng napakanipis na liquidity, na nagpapahintulot sa umaatake na kumuha ng ikalimang bahagi ng halaga na hindi kayang suportahan ng merkado. Ang liquidity ng TONIC ay nasa humigit-kumulang $1.34 milyon, sapat na maliit upang ang maliit na halaga ay makapagpagalaw nang matalim sa presyo. Inilagay niya ang kinita sa $66 milyon, pagkatapos ay binago ito sa humigit-kumulang $75 milyon matapos matukoy ang isa pang attacker-controlled na address na may hawak na $8 milyon. Ang kumpanya ng seguridad na PeckShield ay nakakuha ng katulad na halaga na humigit-kumulang $74 milyon.

Ang Tectonic ay may hawak na humigit-kumulang $121.7 milyon sa mga deposito at $82.7 milyon sa mga aktibong pautang bago ang insidente, ayon sa DefiLlama, halos kalahati ng lahat ng kapital sa Cronos DeFi. Pagsapit ng Lunes, bumagsak ito sa humigit-kumulang $3 milyon, isang pagbaba ng 97.5% sa loob ng 30 araw. Isang hiwalay na onchain analysis ang nagsasabi na mas mataas ang kabuuang nailipat palabas ng mga pool, sa humigit-kumulang $119.5 milyon, na sumusukat sa gross outflow sa halip na kinita ng umaatake.

Bakit nawalan ng ilaw ang chain

Nagtrabaho ang paghinto, sa mga tuntunin ng pagpigil. Humigit-kumulang $6 milyon lamang ng kinita ang nakarating sa Ethereum bago huminto ang produksyon ng bloke, sabi ni Li, na nag-iwan ng humigit-kumulang $60 milyon na nakatigil sa isang chain na hindi pa gumagalaw mula noon.

Bahagi nito ay nakaparada sa isang decentralized exchange pool, na iminungkahi niyang isang pagtatangka upang maiwasan ang blacklisting. Ang datos ng DefiLlama ay naaayon dito: ang pinakamalaking decentralized exchange sa Cronos ay nakakuha ng halos $61 milyon sa mga deposito sa parehong 24 na oras, habang ang mga hawak ng DeFi sa buong chain ay bumaba ng 22%.

Posible ito dahil ang Cronos ay nagpapatakbo ng isang limitadong validator set na 100, sapat na maliit upang mabilis na mai-coordinate ang pagpapasara. Ang kapalit ay huminto din ang lahat ng iba pa: mga bukas na pautang, trade, payout at awtomatikong posisyon na pagmamay-ari ng mga user na hindi kailanman nakipag-ugnayan sa Tectonic.

Sinabi ni Kris Marszalek, CEO ng Crypto.com, na normal ang pagpapatakbo ng exchange at app at ligtas ang pondo ng customer, na nangangako ng isang postmortem. Sinabi ng Tectonic sa mga depositor na huwag makipag-ugnayan sa protokol hanggang sa kumpirmahin nito na ligtas ang paggawa nito.

Tinawag ito ni Li na ikatlong Mango-style attack sa mga nakaraang linggo, kasunod ng isa sa Moonwell, kung saan ang manipulasyon ng illiquid MAMO token ay nagkakahalaga ng tinatayang $8.7 milyon, at isa pa sa isang Pendle reUSD market na nagdulot ng humigit-kumulang $36 milyon sa mga liquidation noong Agosto 25.

Hindi ito ang unang paglabag ng Tectonic. Itinala ng DefiLlama ang dalawang naunang insidente sa protokol, parehong inuri bilang protocol logic failures: isa noong Pebrero 2024 na nagkakahalaga ng $250,000, at isa pa noong Nobyembre 2024. Inuri nito ang pag-atake noong Linggo nang iba, bilang oracle manipulation na isinagawa sa pamamagitan ng spot price manipulation, at inilagay ang pagkalugi sa $75 milyon.

Walang ibinigay na timeline ng pag-restart ang Cronos o Tectonic, kinumpirma ang pinal na halaga, o sinabi kung babayaran nang buo ang mga depositor.