Co se stalo?
DeFi protokol Tectonic, půjčovací aplikace v ekosystému Cronos, se stal terčem útoku. Podle CoinDesk a Cointelegraph jde o exploit v odhadované výši 75 milionů dolarů. Polský Incrypted uvádí nižší číslo, přibližně 66 milionů dolarů. Přesná finální částka tedy zatím není jednotně potvrzena.
Reakce byla drastická: validátoři sítě Cronos pozastavili celý blockchain. Podle Decryptu síť v době zveřejnění stále neprodukovala nové bloky.
DeFi (decentralizované finance) označuje finanční aplikace běžící na blockchainu bez centrálního prostředníka. Tectonic je jednou z nich a umožňuje uživatelům půjčovat a vypůjčovat si aktiva.
Jak útok podle dostupných analýz probíhal?
Všechny zdroje se shodují na mechanice útoku. Šlo o manipulaci s cenou nativního tokenu TONIC, který je řídce obchodovaný (tedy s nízkou likviditou, kde i menší objem dokáže výrazně pohnout cenou).
Podle CoinDesk útočník vyhnal cenu TONIC zhruba 100násobně. Incrypted, který se odvolává na prvotní hodnocení výzkumníka Weilina (Williama) Li, upřesňuje, že k tomuto nárůstu došlo během přibližně 20 minut. Uměle nafouknutý token pak útočník použil jako zástavu (kolaterál) k vypůjčení reálných, hodnotnějších aktiv.
Jinými slovy: bezcenně obchodovaný token se na chvíli tvářil jako drahý, což umožnilo si proti němu půjčit skutečné peníze.
Kolik prostředků uniklo a kde jsou teď?
Zde je klíčový detail, který popisují Decrypt i Incrypted. Část ukradených prostředků útočník stihl přesunout, zbytek zůstal uvězněný na pozastavené síti.
| Položka | Stav podle zdrojů |
|---|---|
| Prostředky přesunuté na Ethereum | zhruba 6 milionů USD (Decrypt, Incrypted) |
| Prostředky uvázlé na síti Cronos | odhadem 60 milionů USD (Incrypted) |
| Celkový odhad škody | 66 mil. USD (Incrypted) / 75 mil. USD (CoinDesk, Cointelegraph, Decrypt) |
Protože Cronos přestal produkovat bloky, zbývající část lupu podle dostupných informací zůstala zablokovaná na síti.
Jak reagoval Crypto.com?
Cronos je blockchain spojený s Crypto.com. Podle Cointelegraphu generální ředitel Crypto.com Kris Marszalek uvedl, že aplikace a burza společnosti nebyly incidentem zasaženy a fungovaly dál normálně.
Je důležité oddělit dvě věci: napaden byl protokol Tectonic na síti Cronos, nikoli přímo produkty Crypto.com. Pozastavení celého blockchainu je nicméně mimořádně silný zásah do decentralizace sítě.
Co zatím není známo?
- Definitivní výše škody. Zdroje se rozcházejí mezi 66 a 75 miliony dolarů.
- Kdy přesně bude síť Cronos znovu spuštěna a v jakém stavu.
- Zda a jak budou postiženým uživatelům nahrazeny ztráty.
- Totožnost útočníka a osud přesunutých prostředků na Ethereu.
Na co si dávat pozor u tohoto typu incidentu
Toto není rada, co dělat s penězi, jen popis vzorce, který se v DeFi opakuje. Manipulace ceny řídce obchodovaného tokenu využitého jako zástava je opakující se scénář. Stejně tak je zásadní otázkou schopnost sítě celý řetězec zastavit: chrání to sice před dalším odlivem prostředků, ale zároveň ukazuje míru centralizace, kterou uživatelé často nečekají. Vývoj situace budeme sledovat a doplníme, až budou k dispozici ověřené informace o restartu sítě a finální výši škody.