Attacco a Cronos e Tectonic
Cronos ha confermato che $9,19 milioni rimangono non recuperati dopo che un attaccante ha preso in prestito $120,4 milioni da Tectonic. Un rollback supportato dai validatori ha invertito circa $111,2 milioni del valore colpito.
Dettagli dell’Attacco
Secondo un post-mortem pubblicato da Cronos lunedì, l’attaccante ha manipolato il prezzo di TONIC, il token di governance del protocollo di prestito Tectonic, utilizzando l’asset gonfiato come collaterale per prendere in prestito fondi in nove mercati il 30 agosto.
“I $9,19 milioni che hanno lasciato Cronos prima dell’interruzione non sono stati recuperati e sono al di là della portata del ripristino,” ha dichiarato il team.
Il rollback ha comportato l’annullamento di 10.961 blocchi, corrispondenti a 1 ora e 54 minuti della cronologia delle transazioni di Cronos. Le transazioni completate durante quel periodo sono state annullate, indipendentemente dal fatto che avessero qualche connessione con l’attacco a Tectonic.
Decisione dei Validatori
Cronos ha dichiarato che i validatori hanno dovuto valutare la finalità delle transazioni rispetto all’importo di denaro ancora esposto quando hanno deciso come riavviare la rete.
“È stata una decisione difficile, presa insieme ai validatori, valutando la finalità che gli utenti si aspettano da una catena rispetto ai fondi a rischio,” ha affermato Cronos.
Analisi Iniziale e Risultati
La contabilità finale aumenta sostanzialmente il valore coinvolto rispetto alle stime iniziali pubblicate immediatamente dopo l’incidente. Il 31 agosto, crypto.news ha riportato l’interruzione di Cronos dopo che il ricercatore on-chain Weilin Li aveva inizialmente stimato che circa $75 milioni erano stati colpiti.
Il fornitore di dati blockchain Bitquery ha successivamente calcolato che $120,4 milioni erano stati rimossi dai mercati di prestito di Tectonic, una cifra coerente con l’importo dettagliato nel post-mortem di Cronos.
Meccanismo dell’Attacco
Cronos ha dichiarato che l’attacco è iniziato dopo che i contratti sono stati distribuiti per manipolare il prezzo di mercato di TONIC, un token poco scambiato che Tectonic accettava come collaterale. Una volta che il prezzo del token era stato spinto verso l’alto, l’attaccante ha fornito il collaterale gonfiato al protocollo di prestito.
Circa 10 minuti dopo, $120,4 milioni erano stati presi in prestito in nove mercati Tectonic. L’analisi on-chain iniziale aveva trovato che il prezzo riportato di TONIC era aumentato di circa 100 volte in circa 20 minuti.
Reazioni e Misure di Sicurezza
Il co-fondatore di RedStone, Marcin Kazmierczak, ha successivamente dichiarato a crypto.news che l’incidente non è stato un fallimento dell’oracolo. Ha affermato che l’oracolo ha riportato accuratamente il prezzo di TONIC nel mercato che monitorava, mentre Tectonic ha accettato quel prezzo senza tenere adeguatamente conto se esistesse sufficiente liquidità per vendere il collaterale alla valutazione riportata.
Fattori di collaterale dinamici, requisiti minimi di profondità di mercato e limiti di impatto sul prezzo avrebbero potuto fornire ulteriori controlli, ha affermato.
Conclusioni e Prospettive Future
Il post-mortem di Cronos ora pone l’importo che è sfuggito al ripristino a circa $9,19 milioni, pari al 7,6% dei $120,4 milioni colpiti. Gli utenti non devono intraprendere alcuna azione in questa fase, mentre l’esploratore di blocchi, gli endpoint RPC pubblici, gli indicizzatori e i sottografi sono tornati in funzione.
Il post-mortem non ha identificato l’attaccante né ha dettagliato come la rete e Tectonic intendano affrontare i $9,19 milioni che rimangono non recuperati. CRO, il token nativo dell’ecosistema Cronos, veniva scambiato intorno a $0,058, in aumento dello 0,62% nelle ultime 24 ore.
