Cronos beperkt schade na Tectonic-exploit tot $9,2 miljoen
De Tectonic-exploit op Cronos heeft voor veel meer activiteit gezorgd dan aanvankelijk bekend was. De aanvaller manipuleerde de prijs van TONIC en kon daardoor voor ongeveer $120,4 miljoen aan leningen openen. Cronos draaide het grootste deel daarvan terug, maar $9,19 miljoen verdween al van het netwerk voordat validators konden ingrijpen.
Eerdere schattingen gingen nog uit van ongeveer $75 miljoen aan getroffen vermogen. Het definitieve onderzoek van Cronos geeft nu een completer beeld van de aanval en laat zien hoe een gemanipuleerde cryptoprijs een DeFi-platform onder druk kan zetten.
Aanvaller manipuleert de prijs van TONIC
De aanval richtte zich op Tectonic, een leenplatform binnen het Cronos-ecosysteem. Gebruikers kunnen daar crypto als onderpand storten en daar andere digitale valuta tegenover lenen.
De aanvaller begon met een storting van ongeveer $5 miljoen. Daarna volgde een reeks transacties waarbij TONIC steeds opnieuw werd geleend en als onderpand werd gebruikt. Dit proces werd volgens de beschikbare gegevens 98 keer herhaald.
Tegelijkertijd kocht de aanvaller TONIC op de markt. Omdat de token relatief weinig handelsvolume had, kon deze koopdruk de prijs sterk beïnvloeden. TONIC werd tijdens de aanval bijna 300 keer duurder.
Dat werd een probleem omdat Tectonic deze marktprijs gebruikte om de waarde van het onderpand te berekenen. Op papier kreeg de aanvaller daardoor steeds meer vermogen om andere crypto te lenen.
Schade loopt op tot $120,4 miljoen
Volgens Cronos zorgde de gemanipuleerde prijs uiteindelijk voor ongeveer $120,4 miljoen aan getroffen leningen. Bij een belangrijke transactie werden negen leenmarkten van Tectonic geraakt via 11 transfers. Daarbij ging het onder andere om stablecoins, Bitcoin en Ether.
Een stablecoin is een cryptomunt die probeert een vaste waarde te behouden, meestal tegenover een traditionele valuta zoals de Amerikaanse dollar. USDT en USDC zijn bekende voorbeelden.
Tectonic ontdekte de verdachte activiteit op 30 augustus om 12:49 UTC. Cronos-validators legden het netwerk om 14:32:47 UTC stil om verdere transacties te voorkomen.
Cronos draait transacties terug
Cronos koos daarna voor een zogenoemde rollback. Daarbij brengen validators de blockchain terug naar een eerdere toestand. Transacties die na dat gekozen moment plaatsvonden, kunnen daardoor verdwijnen uit de uiteindelijke geschiedenis van het netwerk.
Dat is een uitzonderlijke maatregel. Een van de uitgangspunten van blockchaintechnologie is juist dat bevestigde transacties moeilijk terug te draaien zijn.
In dit geval herstelde Cronos de situatie van vóór de exploit. Daarmee werd ongeveer $111,2 miljoen van de getroffen $120,4 miljoen teruggedraaid. Het netwerk begon later die dag, om 23:49:01 UTC, opnieuw blocks te verwerken.
$9,19 miljoen bleef buiten bereik
De rollback kon niet alle schade herstellen. Voordat validators het netwerk stopten, was $9,19 miljoen al van Cronos verplaatst. Dat vertegenwoordigt ongeveer 7,6% van het totale bedrag dat door de exploit werd geraakt.
Eerdere analyses hadden ongeveer $8,3 miljoen gevolgd dat naar Ethereum was verplaatst. Het onderzoek van Cronos laat zien dat het totale bedrag dat buiten het netwerk terechtkwam hoger lag.
Zodra crypto naar een andere blockchain is verstuurd, kan een rollback op Cronos die transacties niet meer terugdraaien. Dat verklaart waarom het grootste deel van de exploit kon worden gecorrigeerd, maar miljoenen dollars buiten bereik bleven.
Waarom deze exploit relevant is voor beleggers
De Tectonic-exploit laat zien dat DeFi-protocollen niet alleen afhankelijk zijn van veilige smart contracts. Ook de manier waarop een platform prijzen bepaalt, speelt een belangrijke rol.
Vooral tokens met weinig handelsvolume kunnen kwetsbaar zijn voor prijsmanipulatie. Een relatief grote aankoop kan de koers dan snel veranderen. Als een leenplatform die prijs direct gebruikt om onderpand te waarderen, kan een aanvaller meer lenen dan zijn bezit werkelijk waard is.
Voor beleggers die DeFi-platforms gebruiken, is het daarom verstandig om niet alleen naar rendementen te kijken. Ook liquiditeit, gebruikte prijsfeeds en de beveiliging van het protocol bepalen het risico.
Conclusie
De Tectonic-exploit op Cronos trof ongeveer $120,4 miljoen aan leningen. Door het netwerk stil te leggen en transacties terug te draaien, kon Cronos ongeveer $111,2 miljoen herstellen. De overige $9,19 miljoen was al naar buiten het netwerk verplaatst.
Het incident toont hoe snel een probleem met prijsdata kan uitgroeien tot een grote DeFi-exploit. Tegelijkertijd zorgt de gekozen rollback voor discussie over de vraag hoeveel controle validators in een blockchainnetwerk zouden moeten hebben.
Veelgestelde vragen over de Tectonic-exploit
Hoeveel geld ging verloren bij de Tectonic-exploit?
De exploit had invloed op ongeveer $120,4 miljoen aan leningen. Cronos kon ongeveer $111,2 miljoen terugdraaien. Uiteindelijk bleef $9,19 miljoen buiten het netwerk en daarmee buiten het bereik van de rollback.
Hoe kon de aanvaller zoveel crypto lenen?
De aanvaller dreef de prijs van TONIC sterk omhoog en gebruikte die hogere waarde om meer leencapaciteit te krijgen. Omdat Tectonic de gemanipuleerde prijs gebruikte voor de waardering van het onderpand, kon de aanvaller steeds grotere bedragen lenen.
Wat is een blockchainrollback?
Bij een rollback brengen validators een blockchain terug naar een eerder punt. Recente transacties kunnen daardoor worden teruggedraaid. Het is een ingrijpende maatregel die netwerken vooral overwegen bij uitzonderlijke beveiligingsincidenten.
