Cosa è successo?
Il protocollo DeFi Tectonic, un'applicazione di prestito nell'ecosistema Cronos, è diventato bersaglio di un attacco. Secondo CoinDesk e Cointelegraph si tratta di un exploit stimato in 75 milioni di dollari. Il polacco Incrypted riporta una cifra inferiore, circa 66 milioni di dollari. L'importo finale esatto non è quindi ancora confermato in modo univoco.
La reazione è stata drastica: i validatori della rete Cronos hanno sospeso l'intera blockchain. Secondo Decrypt, al momento della pubblicazione la rete non produceva ancora nuovi blocchi.
DeFi (finanza decentralizzata) indica applicazioni finanziarie che girano su blockchain senza intermediari centrali. Tectonic è una di queste e permette agli utenti di prestare e prendere in prestito asset.
Come si è svolto l'attacco secondo le analisi disponibili?
Tutte le fonti concordano sulla meccanica dell'attacco. Si è trattato di una manipolazione del prezzo del token nativo TONIC, che è poco scambiato (quindi con bassa liquidità, dove anche un volume ridotto può muovere significativamente il prezzo).
Secondo CoinDesk l'attaccante ha spinto il prezzo di TONIC di circa 100 volte. Incrypted, che si rifà alla valutazione iniziale del ricercatore Weilin (William) Li, precisa che questo aumento è avvenuto nell'arco di circa 20 minuti. Il token gonfiato artificialmente è stato poi usato dall'attaccante come collaterale per prendere in prestito asset reali e di maggior valore.
In altre parole: un token privo di valore reale ha finto per un momento di essere costoso, il che ha permesso di prendere in prestito denaro vero a fronte di esso.
Quanti fondi sono usciti e dove sono ora?
Qui c'è un dettaglio chiave descritto sia da Decrypt sia da Incrypted. Una parte dei fondi rubati l'attaccante è riuscito a spostarla, il resto è rimasto intrappolato sulla rete sospesa.
| Voce | Stato secondo le fonti |
|---|---|
| Fondi spostati su Ethereum | circa 6 milioni di USD (Decrypt, Incrypted) |
| Fondi bloccati sulla rete Cronos | stimati 60 milioni di USD (Incrypted) |
| Stima totale del danno | 66 mln USD (Incrypted) / 75 mln USD (CoinDesk, Cointelegraph, Decrypt) |
Poiché Cronos ha smesso di produrre blocchi, la parte restante del bottino secondo le informazioni disponibili è rimasta bloccata sulla rete.
Come ha reagito Crypto.com?
Cronos è una blockchain legata a Crypto.com. Secondo Cointelegraph, il CEO di Crypto.com Kris Marszalek ha dichiarato che l'app e l'exchange dell'azienda non sono stati colpiti dall'incidente e hanno continuato a funzionare normalmente.
È importante distinguere due cose: a essere attaccato è stato il protocollo Tectonic sulla rete Cronos, non direttamente i prodotti di Crypto.com. La sospensione dell'intera blockchain è però un intervento straordinariamente forte sulla decentralizzazione della rete.
Cosa non si sa ancora?
- L'entità definitiva del danno. Le fonti divergono tra 66 e 75 milioni di dollari.
- Quando esattamente la rete Cronos verrà riavviata e in che stato.
- Se e come verranno rimborsate le perdite agli utenti colpiti.
- L'identità dell'attaccante e la sorte dei fondi spostati su Ethereum.
A cosa fare attenzione in questo tipo di incidenti
Questo non è un consiglio su cosa fare con i propri soldi, solo la descrizione di uno schema che si ripete nella DeFi. La manipolazione del prezzo di un token poco scambiato usato come collaterale è uno scenario ricorrente. Allo stesso modo è cruciale la questione della capacità della rete di fermare l'intera chain: da un lato protegge da un ulteriore deflusso di fondi, ma dall'altro mostra il grado di centralizzazione che gli utenti spesso non si aspettano. Seguiremo l'evoluzione della situazione e aggiorneremo l'articolo non appena saranno disponibili informazioni verificate sul riavvio della rete e sull'entità finale del danno.