Cronos опубликовал официальный пост-мортем инцидента с Tectonic, раскрыв реальные масштабы атаки. Оказалось, что манипулированные значения залога сгенерировали $120.4 миллиона заемной активности, а не $75 миллионов, как сообщалось ранее. Откат сети вернул $111.2 миллиона, но 7.6% средств ($9.19 миллиона) успели покинуть блокчейн до вмешательства валидаторов.
Ключевая цифра: $9.19 миллионов безвозвратно ушли в Ethereum до остановки сети — это выше предыдущей оценки Bitquery в $8.3 миллиона. Откат спас $111.2 миллиона, но не смог вернуть то, что уже пересекло границы блокчейна.
Атакующий использовал сложную схему манипуляции залогом, которая exploit-ила зависимость Tectonic от ценовых фидов. По данным Bitquery, злоумышленник начал с депозита $5 миллионов и запустил 98-цикловую петлю операций. В каждом цикле он заимствовал TONIC, редепозитировал его и снова заимствовал, одновременно скупая тонко торгуемый токен на рынке.
Эта схема известна как "Mango-style attack" — названная в честь аналогичного эксплойта Mango Markets в 2022 году. Атакующий искусственно завышал цену governance токена TONIC, который использовался как залог в протоколе. Tectonic принимал inflated TONIC по завышенной цене, позволяя злоумышленнику занимать реальные ликвидные активы против "воздушного" залога.
Технический парадокс: Ценовой фид Tectonic работал корректно — он точно отражал рыночную цену TONIC. Проблема была в дизайне протокола, который принимал манипулированную цену как валидный залог без проверки ликвидности.
Cronos предоставил детальную хронологию событий, показывающую скорость реакции и масштаб вмешательства. Атака была обнаружена быстро, но атакующий успел вывести часть средств до остановки сети.
| Время (UTC) | Событие | Действие |
|---|---|---|
| 12:49 | Обнаружение аномалии | Tectonic детектировал подозрительную активность |
| 14:32:47 | Остановка сети | Валидаторы прекратили производство блоков |
| 23:49:01 | Возобновление работы | Блокчейн перезапущен после восстановления балансов |
Между обнаружением атаки и остановкой сети прошло 1 час 43 минуты. Этого времени хватило атакующему, чтобы bridge-нуть $9.19 миллионов в Ethereum, где валидаторы Cronos не имеют юрисдикции. Остальные $111.2 миллиона оставались на адресах внутри сети Cronos и были успешно возвращены через откат к состоянию до эксплойта.
Процесс отката занял более 9 часов — с 14:32 до 23:49. За это время валидаторы координировали восстановление балансов, проверяли целостность данных и готовили сеть к перезапуску. Это был беспрецедентный случай координации валидаторов для отмены подтвержденных транзакций в production сети.
Откат Cronos не был простым "undo" последних транзакций. Валидаторам пришлось:
Юридический парадокс: $9.19 миллионов, ушедшие в Ethereum, технически существуют в другой юрисдикции. Валидаторы Cronos не могут принудительно откатить транзакции в Ethereum, где действуют другие правила консенсуса и immutability.
Пост-мортем Cronos значительно скорректировал первоначальные оценки масштаба инцидента. Ранние сообщения указывали на $75 миллионов потерь, но детальное расследование показало, что реальная цифра затронутых займов составила $120.4 миллиона — на 60% больше.
| Источник | Оценка потерь | Дата |
|---|---|---|
| Первоначальные сообщения | $75 миллионов | 30 августа |
| Bitquery (on-chain анализ) | $8.3M на Ethereum | 31 августа |
| Cronos пост-мортем | $120.4M затронуто, $9.19M ушло | 8 сентября |
Разница между $75M и $120.4M объясняется тем, что первоначальные оценки учитывали только финальную сумму выведенных средств, тогда как пост-мортем включает всю manipulated borrowing activity. Большая часть этих займов ($111.2M) была откатана, но сам факт их создания показывает масштаб уязвимости.
Tectonic стал частью тревожного тренда DeFi взломов в 2026 году:
Интересно, что Moonwell на Base потерял $9 миллионов всего за несколько дней до Tectonic, используя практически идентичную технику. Атакующий Moonwell также использовал тонко торгуемый токен MAMO, завысив его цену и заняв ликвидные активы. Это показывает, что Mango-style атаки остаются эффективным вектором, несмотря на их известность.
Системная проблема: Протоколы продолжают принимать governance токены с низкой ликвидностью как залог без адекватных borrow caps. Moonwell и Tectonic были взломаны одним методом с разницей в несколько дней, показывая, что индустрия не учится на публичных инцидентах.
Решение Cronos откатить блокчейн вызвало интенсивные дебаты в крипто-сообществе о природе immutability и централизации. С одной стороны, откат спас $111.2 миллиона депозиторов Tectonic. С другой — он установил прецедент, что история блокчейна может быть переписана решением валидаторов.
Сторонники отката указывают на:
Критики отката подчеркивают:
Инцидент поднял критические вопросы о governance Cronos:
Фундаментальный вопрос: Если блокчейн может быть откатан решением валидаторов, чем он отличается от традиционной базы данных? Ценность блокчейна в immutability — гарантии, что подтвержденные транзакции не могут быть отменены. Cronos показал, что эта гарантия условна.
Tectonic и Moonwell демонстрируют повторяющуюся уязвимость, которую можно предотвратить:
Marcin Kazmierczak, сооснователь RedStone (oracle provider для Tectonic), прямо указал на проблему: "Oracle не ошибся. Он точно сообщил цену TONIC. Проблема в том, что Tectonic принял эту цену как безопасную для lending без проверки, можно ли токен реально продать по этой цене". Решение простое — borrow cap, привязанный к executable liquidity, а не к reported market price.
Инцидент оказал significant impact на Cronos DeFi:
Cronos столкнулся с дилеммой: откат спас средства, но подорвал доверие к immutability сети. Протоколы, строящиеся на Cronos, теперь должны учитывать, что их транзакции могут быть отменены валидаторами. Это создает uncertainty для applications, требующих finality guarantees.
Долгосрочный risk: Если Cronos станет известен как "блокчейн, который можно откатить", институциональные пользователи и serious DeFi protocols могут выбрать другие платформы с stronger immutability guarantees. Репутационный ущерб может превысить спасенные $111.2M.
Cronos стоит перед несколькими возможными путями:
Инцидент с Tectonic станет case study для всей индустрии. Он демонстрирует tension между pragmatism (спасти средства пользователей) и principles (сохранить immutability). Как индустрия разрешит это противоречие, определит будущее DeFi governance и user trust в blockchain technology.
«Неизменность блокчейна — это не техническая характеристика, а социальный контракт. Когда валидаторы могут переписать историю, этот контракт нарушается, и мы возвращаемся к традиционным базам данных с дополнительными шагами».
— Виталик Бутерин, сооснователь Ethereum
