Что подтверждено командами Cronos и Tectonic
Официальный аккаунт Cronos Network сообщил об эксплойте в Tectonic и остановке сети. Tectonic отдельно подтвердил расследование инцидента и предупредил пользователей не взаимодействовать с протоколом. На момент подготовки материала команда не раскрыла точную сумму, первопричину, план перезапуска или порядок обращения с активами, оставшимися в сети.
Остановка блокчейна и пауза отдельного приложения не являются одним и тем же действием. В этом случае защита вышла на уровень сети: прекращение производства блоков остановило исполнение новых транзакций во всей Cronos Network, а не только в Tectonic. Это могло ограничить перемещение активов атакующего, но одновременно лишило остальных пользователей возможности нормально проводить операции до восстановления консенсуса.
Крис Маршалек заявил, что приложение и биржа Crypto.com не пострадали, работают как обычно, а клиентские средства находятся в безопасности. Это заявление относится к инфраструктуре Crypto.com. Оно не означает, что депозиты пользователей в независимом DeFi-протоколе Tectonic не затронуты: биржевой счёт, самостоятельный кошелёк и позиция в кредитном смарт-контракте имеют разные контуры хранения и риска.
Как малоликвидный TONIC превратился в завышенный залог
Предварительный разбор Weilin Li описывает атаку типа pump-and-borrow. По его данным, цена TONIC выросла примерно в 100 раз за 20 минут. После этого токены с искусственно увеличенной оценкой были внесены в Tectonic как обеспечение, а против них заняли более ликвидные активы. Схема не требует взлома приватного ключа кредитора: она использует ошибочную экономическую оценку залога внутри протокола.
Документация Tectonic указывала для TONIC коэффициент залога 20%. Это означает, что позиция могла поддерживать заём стоимостью до одной пятой учтённой цены токенов. Такой лимит снижает риск обычного падения курса, но не защищает сам по себе от скачка цены на тонком рынке. Если источник цены принимает манипулируемую котировку, даже консервативный процент применяется к завышенной базе.
Li сначала оценил объём заимствований примерно в $66 млн, затем связал с атакующим ещё один адрес с активами примерно на $8 млн и повысил общую оценку до приблизительно $75 млн. Он также сообщил, что около $6 млн успели перевести в Ethereum, а большая часть осталась в Cronos. Эти цифры полезны как ранняя ончейн-реконструкция, но их нельзя считать окончательным размером убытка до сверки обязательств, ликвидности, цен и контроля адресов в официальном разборе.
Почему остановка сети не равна возврату средств
Пауза сокращает пространство для немедленного вывода, но не исправляет состояние кредитного протокола автоматически. Заёмные активы уже могли сменить владельца, а позиции поставщиков ликвидности и заёмщиков могли оказаться несбалансированными. После перезапуска операторам предстоит решить, какие транзакции признаются окончательными, как блокировать дальнейшее движение и кто принимает экономический убыток.
На уровне управления возникает отдельный вопрос: кто и по какой процедуре способен остановить сеть. Экстренный выключатель может ограничить ущерб быстрее, чем обновление отдельных контрактов, однако он показывает зависимость доступности блокчейна от координации валидаторов и разработчиков. Публикации о децентрализации следует оценивать вместе с реальными процедурами чрезвычайной остановки, перезапуска и возможного изменения состояния.
Инцидент также показывает пределы аудита смарт-контрактов. Контракт может корректно выполнять заданную формулу, а система всё равно потеряет деньги из-за параметров залога, качества оракула и глубины рынка. Для кредитных протоколов защита включает не только поиск ошибок в коде, но и лимиты на объём займа, изолированные рынки, задержки котировок, независимые источники цены и автоматические паузы при аномальном движении.
Что проверять пользователю до восстановления Cronos
Пользователям Tectonic следует соблюдать прямое предупреждение проекта и не подписывать транзакции до официального сообщения о безопасности. Ссылки на срочный возврат средств, миграцию или компенсацию особенно опасны во время расследования. Проверять обновления нужно через подтверждённые аккаунты Cronos Network и Tectonic, самостоятельно набирая адрес официального сайта, а не переходя по ответам и рекламе в социальных сетях.
Баланс в интерфейсе не доказывает возможность вывода, а отсутствие токенов на экране не доказывает окончательный убыток при остановленной сети. Полезно сохранить адрес кошелька, хеши депозитов и займов, снимки позиции и перечень выданных разрешений. Не следует отзывать разрешения или перемещать активы через неизвестные инструменты, пока сеть не обрабатывает транзакции и команда не опубликовала проверенный порядок действий.
Для будущих депозитов важны не только доходность и аудит. Нужно смотреть, какие активы разрешены как залог, насколько глубоки их рынки, откуда берётся цена, существуют ли ограничения на заём и кто может поставить протокол или сеть на паузу. Tectonic показывает, что малоликвидный токен с ненулевым коэффициентом залога способен связать локальную ценовую манипуляцию с риском для всего кредитного пула.
