Cronos mematikan seluruh blockchain-nya pada hari Minggu untuk mengatasi serangan pada protokol peminjaman DeFi Tectonic, membekukan setiap posisi di jaringan dalam prosesnya.

Tectonic memungkinkan pengguna untuk menyetor kripto agar orang lain dapat meminjam dengan jaminan yang ditempatkan, dan mendapatkan bunga sebagai imbalannya. Ini adalah protokol pertama yang diluncurkan di Cronos dan tetap menjadi yang terbesar, memegang hampir setengah dari seluruh modal yang disimpan di seluruh aplikasi DeFi jaringan tersebut. Pemberi pinjaman terbesar berikutnya di rantai tersebut, Mimas Finance, memegang sekitar $30.000, menurut DefiLlama.

Dalam sebuah tweet, Cronos mencatat bahwa mereka telah "mengidentifikasi eksploitasi" di Tectonic, menambahkan bahwa mereka telah menghentikan Jaringan Cronos dan akan memberikan pembaruan. Sehari kemudian, mereka mengonfirmasi bahwa rantai tersebut masih mati, mengatakan bahwa mereka sedang menyelidiki "dengan dukungan dari tim keamanan di seluruh industri."

Peneliti on-chain Weilin Li menggambarkannya sebagai "serangan manipulasi harga pump-and-borrow gaya Mango-market," merujuk pada eksploitasi Mango Markets senilai $100 juta pada Oktober 2022. Harga TONIC melonjak 100 kali lipat dalam 20 menit, katanya, sebelum penyerang meminjam dengan jaminan itu.

Akar masalahnya, menurut Li, sederhana: Tectonic menetapkan faktor jaminan 20% untuk token tata kelolanya sendiri meskipun likuiditasnya sangat tipis, memungkinkan penyerang mengambil seperlima dari valuasi yang tidak akan pernah bisa didukung pasar. Likuiditas TONIC sekitar $1,34 juta, cukup kecil sehingga jumlah yang tidak besar dapat menggerakkan harga secara tajam. Ia memperkirakan hasil jarahan sebesar $66 juta, kemudian merevisinya menjadi sekitar $75 juta setelah mengidentifikasi alamat lain yang dikendalikan penyerang yang memegang $8 juta. Perusahaan keamanan PeckShield mencapai angka serupa sekitar $74 juta.

Tectonic memegang sekitar $121,7 juta dalam simpanan dan $82,7 juta dalam pinjaman aktif sesaat sebelum insiden, menurut DefiLlama, hampir setengah dari seluruh modal di Cronos DeFi. Pada hari Senin, angka itu telah runtuh menjadi sekitar $3 juta, penurunan 97,5% selama 30 hari. Analisis on-chain terpisah menempatkan total yang dipindahkan dari pool jauh lebih tinggi, sekitar $119,5 juta, mengukur arus keluar bruto alih-alih hasil jarahan penyerang.

Mengapa rantai menjadi gelap

Penghentian ini berhasil, setidaknya dalam hal penahanan. Hanya sekitar $6 juta dari hasil jarahan yang mencapai Ethereum sebelum produksi blok berhenti, kata Li, menyisakan sekitar $60 juta yang tidak bergerak di rantai yang belum bergerak sejak saat itu.

Sebagian dari dana tersebut diparkir di pool bursa terdesentralisasi, yang menurutnya merupakan upaya untuk menghindari daftar hitam. Data DefiLlama konsisten dengan hal itu: bursa terdesentralisasi terbesar di Cronos memperoleh hampir $61 juta dalam simpanan selama 24 jam yang sama, sementara kepemilikan DeFi di seluruh rantai secara keseluruhan turun 22%.

Hal ini mungkin terjadi karena Cronos menjalankan set validator terbatas sebanyak 100, cukup kecil untuk mengkoordinasikan penutupan dengan cepat. Sisi negatifnya adalah semua yang lain juga berhenti: pinjaman terbuka, perdagangan, pembayaran, dan posisi otomatis milik pengguna yang tidak pernah menyentuh Tectonic.

CEO Crypto.com Kris Marszalek mengatakan bursa dan aplikasi beroperasi secara normal dan dana pelanggan aman, menjanjikan postmortem. Tectonic meminta depositor untuk tidak berinteraksi dengan protokol sampai ia mengonfirmasi bahwa hal itu aman.

Li menyebutnya sebagai serangan gaya Mango ketiga dalam beberapa minggu terakhir, menyusul satu di Moonwell, di mana manipulasi token MAMO yang tidak likuid menyebabkan kerugian sekitar $8,7 juta, dan satu lagi di pasar Pendle reUSD yang memicu sekitar $36 juta likuidasi pada 25 Agustus.

Ini bukan pelanggaran pertama Tectonic. DefiLlama mencatat dua insiden sebelumnya pada protokol tersebut, keduanya diklasifikasikan sebagai kegagalan logika protokol: satu pada Februari 2024 yang merugikan $250.000, dan satu lagi pada November 2024. Insiden hari Minggu diklasifikasikan secara berbeda, sebagai manipulasi oracle yang dilakukan melalui manipulasi harga spot, dan menempatkan kerugian sebesar $75 juta.

Baik Cronos maupun Tectonic belum memberikan garis waktu memulai kembali, mengonfirmasi angka akhir, atau mengatakan apakah depositor akan diganti rugi sepenuhnya.