Cronos đã tắt toàn bộ blockchain của mình vào Chủ Nhật để ngăn chặn một cuộc tấn công vào giao thức cho vay DeFi Tectonic, đóng băng mọi vị thế trên mạng lưới trong quá trình này.

Tectonic cho phép người dùng gửi tiền điện tử để người khác vay dựa trên tài sản thế chấp đã đăng, đổi lại nhận lãi suất. Đây là giao thức đầu tiên ra mắt trên Cronos và cho đến nay vẫn là lớn nhất, nắm giữ gần một nửa tổng số vốn được gửi vào các ứng dụng DeFi của mạng lưới. Theo DefiLlama, nhà cho vay lớn thứ hai trên chuỗi, Mimas Finance, nắm giữ khoảng 30.000 đô la.

Trong một tweet, Cronos lưu ý rằng họ đã "xác định một lỗ hổng bảo mật" trong Tectonic, đồng thời cho biết họ đã tạm dừng Mạng Cronos và sẽ cung cấp thông tin cập nhật. Một ngày sau, họ xác nhận chuỗi vẫn ngừng hoạt động, nói rằng họ đang điều tra "với sự hỗ trợ từ các đội an ninh trong toàn ngành."

Nhà nghiên cứu onchain Weilin Li mô tả đây là một "cuộc tấn công thao túng giá theo kiểu Mango-market pump-and-borrow," ám chỉ vụ tấn công 100 triệu đô la của Mango Markets vào tháng 10 năm 2022. Ông cho biết giá TONIC đã tăng vọt 100 lần trong vòng 20 phút, trước khi kẻ tấn công vay dựa trên tài sản đó.

Theo lời Li, nguyên nhân gốc rễ rất đơn giản: Tectonic đã gán cho token quản trị của mình một hệ số tài sản thế chấp 20% mặc dù thanh khoản rất mỏng, cho phép kẻ tấn công rút một phần năm giá trị mà thị trường không bao giờ có thể hỗ trợ. Thanh khoản của TONIC ở mức khoảng 1,34 triệu đô la, đủ nhỏ để những khoản tiền khiêm tốn cũng làm giá biến động mạnh. Ông ước tính số tiền thu được là 66 triệu đô la, sau đó điều chỉnh lên khoảng 75 triệu đô la sau khi xác định thêm một địa chỉ do kẻ tấn công kiểm soát nắm giữ 8 triệu đô la. Công ty bảo mật PeckShield cũng đưa ra con số tương tự khoảng 74 triệu đô la.

Theo DefiLlama, Tectonic nắm giữ khoảng 121,7 triệu đô la tiền gửi và 82,7 triệu đô la khoản vay đang hoạt động ngay trước sự cố, gần một nửa tổng số vốn trong Cronos DeFi. Đến thứ Hai, con số này đã giảm xuống chỉ còn khoảng 3 triệu đô la, giảm 97,5% trong 30 ngày. Một phân tích onchain riêng biệt cho thấy tổng số tiền di chuyển ra khỏi các pool cao hơn nhiều, khoảng 119,5 triệu đô la, tính theo tổng dòng tiền chảy ra thay vì số tiền thu được của kẻ tấn công.

Tại sao chuỗi bị ngừng hoạt động

Ít nhất về mặt ngăn chặn, việc tạm dừng đã có hiệu quả. Li cho biết, chỉ khoảng 6 triệu đô la trong số tiền thu được đã đến Ethereum trước khi quá trình tạo khối dừng lại, khiến khoảng 60 triệu đô la bị đóng băng trên một chuỗi chưa hoạt động trở lại kể từ đó.

Một phần trong số đó đã được gửi vào một pool sàn giao dịch phi tập trung, mà ông gợi ý là một nỗ lực để tránh bị đưa vào danh sách đen. Dữ liệu của DefiLlama cũng nhất quán với điều này: sàn giao dịch phi tập trung lớn nhất trên Cronos đã tăng gần 61 triệu đô la tiền gửi trong cùng 24 giờ, trong khi tổng số tài sản DeFi trên toàn chuỗi giảm 22%.

Điều này có thể thực hiện được vì Cronos vận hành một bộ xác thực giới hạn gồm 100 nút, đủ nhỏ để phối hợp tắt máy nhanh chóng. Đánh đổi là mọi thứ khác cũng ngừng hoạt động: các khoản vay mở, giao dịch, thanh toán và các vị thế tự động thuộc về những người dùng chưa bao giờ chạm vào Tectonic.

CEO Crypto.com Kris Marszalek cho biết sàn giao dịch và ứng dụng vẫn hoạt động bình thường và tiền của khách hàng được an toàn, hứa hẹn sẽ có phân tích sau sự cố. Tectonic đã yêu cầu người gửi tiền không tương tác với giao thức cho đến khi họ xác nhận rằng việc đó là an toàn.

Li gọi đây là cuộc tấn công thứ ba theo kiểu Mango trong những tuần gần đây, sau một cuộc tấn công vào Moonwell, nơi việc thao túng token MAMO có thanh khoản thấp đã gây thiệt hại ước tính 8,7 triệu đô la, và một cuộc tấn công khác vào thị trường Pendle reUSD đã kích hoạt khoảng 36 triệu đô la thanh lý vào ngày 25 tháng 8.

Đây không phải là lần vi phạm đầu tiên của Tectonic. DefiLlama ghi nhận hai sự cố trước đó trên giao thức, cả hai đều được phân loại là lỗi logic giao thức: một vào tháng 2 năm 2024 gây thiệt hại 250.000 đô la, và một vào tháng 11 năm 2024. Nó phân loại cuộc tấn công Chủ Nhật khác, là thao túng oracle thông qua thao túng giá giao ngay, và ước tính thiệt hại là 75 triệu đô la.

Cả Cronos và Tectonic đều chưa đưa ra thời gian khởi động lại, xác nhận con số cuối cùng, hoặc cho biết liệu những người gửi tiền có được bồi thường đầy đủ hay không.