Ein 100-facher TONIC-Pump kostete Tectonic $75 Millionen und frierte Cronos ein
- Ein Angreifer trieb den TONIC-Preis innerhalb von 20 Minuten um das 100-Fache nach oben und lieh sich dagegen, wodurch geschätzt 75 Millionen US-Dollar aus Tectonic abgezogen wurden.
- Cronos stellte am 30. August seine gesamte Blockchain still, wodurch fast alle Vermögenswerte mit Ausnahme von etwa 6 Millionen US-Dollar on-chain eingefroren blieben.
- Crypto.com teilte mit, dass seine App und die Börse nicht kompromittiert wurden.
Am Sonntag hielt Cronos seine gesamte Blockchain an, nachdem ein Angreifer etwa 75 Millionen US-Dollar aus Tectonic, dem größten Kreditmarkt des Netzwerks, abgezogen hatte.
Der Stopp fesselte fast den gesamten Beutezug, bis auf etwa 6 Millionen US-Dollar, bevor er das Netzwerk verlassen konnte.
Nur 6 Millionen US-Dollar erreichten Ethereum, bevor Cronos die Blockproduktion stoppte
Der Angriff zielte auf den Preis von TONIC, dem dünn gehandelten Governance-Token des Protokolls, ab, wie der On-Chain-Forscher Weilin Li erklärte, der die Abfolge als Erster auf X darlegte.
Der Token wurde in 20 Minuten etwa 100-mal gepumpt und dann als Sicherheit verwendet, um andere echte Vermögenswerte aus dem Protokoll zu leihen, sagt.
Tectonics eigene Parameter gaben TONIC einen Sicherungsfaktor von 20 %, was bedeutete, dass ein Einleger bis zu einem Fünftel des Werts des eingezahlten Tokens ausleihen konnte. Li zählte etwa 364,6 Billionen TONIC in der Angriffsposition.
Der Haufen müsse pro Token etwa 0,00000103 US-Dollar wert sein, um die gezeigte Ausleihe zu stützen, zeigen CoinGecko-Daten, oder etwa das 100-Fache des Handelspreises von TONIC vor dem Angriff.
Tectonics Dokumentation warnte davor, dass Assets mit geringer Liquidität genau dieser Art der Preismanipulation ausgesetzt sind.
Li vergleicht dies mit dem Mango-Markets-Hack von 2022, bei dem ein Händler ein illiquides Token aufblähte und gegen den künstlichen Wert auslieh.
„Wir haben eine Sicherheitslücke in Tectonic identifiziert. Das Cronos Network wurde angehalten, und wir werden hier Updates bereitstellen“, postete das Cronos Network am 30. August auf X.
Tectonic warnte Nutzer ebenfalls, sich vom Protokoll fernzuhalten, bis die Lage als sicher bestätigt werden konnte.
Li ging zunächst von insgesamt etwa 66 Millionen US-Dollar aus, erhöhte diesen Betrag dann auf etwa 75 Millionen US-Dollar, als er der Spur zu einer zweiten Adresse eines Angreifers folgte, der weitere 8 Millionen US-Dollar besaß.
Nur etwa 6 Millionen US-Dollar wurden vor dem Blockstopp von Cronos an Ethereum gesendet. Das bedeutete, dass der Großteil der gestohlenen Vermögenswerte auf der Blockchain verblieb, von der sie gestohlen wurden.
Laut DeFiLlama hatte Tectonic vor dem Angriff etwa 82,7 Millionen Dollar an aktiven Krediten und etwa 121,7 Millionen Dollar an gebundenem Wert.
Die von Li gemeldeten Zahlen werden weder von Tectonic noch von Cronos bestätigt.
Kreditprotokolle meldeten 67 Sicherheitslücken von 267 DeFi-Vorfällen
Der Chief Executive Kris Marszalek erklärte in einem Post auf X, dass die Crypto.com-App und die Börse nicht kompromittiert wurden und dass das Sicherheitsteam des Unternehmens Cronos bei der Untersuchung hilft.
Die Exposition betrifft die Tectonic DeFi-App, nicht die Crypto.com-Börse. Tectonic ist das erste Kreditprotokoll im Netzwerk und läuft unabhängig auf Cronos.
CRO fiel im Laufe von 24 Stunden um etwa 10,0 %, als sich die Nachrichten verbreiteten, und wird laut CoinGecko zu etwa 0,055 US-Dollar gehandelt.
Li sagte, ein Angreifer habe den Preis der illiquiden MAMO-Münze manipuliert, was dazu führte, dass das Base-Lending-Protokoll Moonwell drei Tage zuvor geschätzte 8,7 Millionen Dollar verlor.
Er hob zudem einen Vorfall vom 25. August hervor, bei dem ein dünn gehandelter Pendle-Markt in Liquidationen in Höhe von etwa 36 Millionen US-Dollar für gehobene PT-reUSD-Positionen auf Morpho ausgenutzt wurde.
Cryptopolitan berichtete im Juli über einen Oracle-Angriff auf das Balance-Protokoll, das einen schlechten Preis lieferte, was den BLC-Token um etwa 99 % abstürzen ließ und etwa 912.000 Dollar aus der Governance-Entität 42DAO abzog.
Im Februar meldeten Protokolle 67 Ausbeutungen im vergangenen Jahr von insgesamt 267 DeFi-Vorfällen. Preismanipulation allein war für 13 Angriffe verantwortlich und verursachte Verluste in Höhe von rund 65 Millionen US-Dollar.
Cronos hat nicht mitgeteilt, wann die Blockchain wieder hochgefahren wird oder was mit den gestrandeten Vermögenswerten des Angreifers geschieht.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Wie funktionierte der Tectonic-Exploit?
Der Angreifer trieb den TONIC-Preis innerhalb von 20 Minuten um das 100-Fache nach oben und nutzte dann die aufgeblähten Token als Sicherheit, um andere Vermögenswerte bei Tectonic zu leihen.
Wie viel wurde gestohlen und wie viel konnte entkommen?
Etwa 75 Millionen US-Dollar waren betroffen, doch nur rund 6 Millionen US-Dollar wurden vor der Stilllegung des Netzwerks durch Cronos auf Ethereum überführt.
War Crypto.com von der Cronos-Pause betroffen?
Kris Marszalek, Chief Executive von Crypto.com, sagte auf X, dass die App und die Börse des Unternehmens nicht kompromittiert wurden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
