Cronos legt blockchain stil na hack van 75 miljoen dollar bij Tectonic

Een blockchain die je met een druk op de knop kunt stilzetten, klinkt als het tegenovergestelde van waar crypto voor zou moeten staan. Toch is dat precies wat Cronos op 30 augustus deed. Nadat het lending-protocol Tectonic werd leeggetrokken, staakten de validators de blokproductie om te voorkomen dat de aanvaller met de buit kon ontsnappen. De schade wordt geschat op zo’n 75 miljoen dollar.

De aanval draaide om TONIC, de governance-token van Tectonic zelf. Onderzoeker Weilin Li reconstrueerde hoe de aanvaller te werk ging: eerst werd de marktprijs van TONIC in ongeveer twintig minuten zo’n honderd keer opgeblazen, waarna die kunstmatig dure tokens als onderpand werden gestort om andere, echte activa te lenen. Omdat TONIC een onderpandfactor van 20 procent had terwijl de handel in de token dun was, kon een relatief kleine prijsmanipulatie een grote leencapaciteit vrijspelen.

Li noemt het een aanval in Mango Markets-stijl, verwijzend naar de beruchte manipulatie waarbij een illiquide governance-token werd gebruikt om leningen tegen liquidere activa af te sluiten. Het is een patroon dat DeFi-bouwers inmiddels zouden moeten herkennen. Kort voor Tectonic werd Moonwell op vrijwel dezelfde manier voor naar schatting 8,7 miljoen dollar geraakt. Opvallend genoeg waarschuwt de documentatie van Tectonic zelf dat activa met weinig liquiditeit gevoelig zijn voor prijsmanipulatie.

Waarom een netwerk stilleggen zowel redding als risico is

Voor wie nieuw is: een blockchain halt is het zwaarste instrument dat validators hebben. Zolang er geen blokken worden geproduceerd, staat alles stil, van overboekingen tot smart-contractacties. Dat sluit gebruikers buiten hun eigen geld, maar snijdt ook de aanvaller de uitgang af. In dit geval werkte dat: het meeste geld bleef op Cronos staan, en slechts ongeveer 6 miljoen dollar bereikte Ethereum voordat de rem erop ging. Cronos kon dit doen doordat het draait op een Tendermint-consensus met maximaal honderd validators, wat coördinatie voor een noodstop haalbaar maakt.

Stilleggen betekent alleen nog geen terughalen. Zodra Cronos herstart, kan de aanvaller de fondsen gewoon verder verplaatsen, tenzij validators of ontwikkelaars ingrijpen door de betrokken adressen te bevriezen of transacties terug te draaien. Elke zo’n stap roept meteen vragen op over wie hier de baas is en of transacties op Cronos wel echt definitief zijn. Een keten die iemand kan uitschakelen, is immers ook een keten die geld kan terughalen. Cronos en Tectonic hebben niet gezegd welke kant ze op gaan.

Crypto.com houdt afstand van de schade

Crypto.com, dat Cronos oorspronkelijk ontwikkelde, was er snel bij om duidelijk te maken dat zijn eigen diensten buiten schot bleven. CEO Kris Marszalek liet weten dat de app en de gecentraliseerde beurs normaal bleven draaien en dat het securityteam meehelpt aan het onderzoek. “All funds are safe”, schreef hij, doelend op de tegoeden die via Crypto.com zelf worden aangehouden.

Die geruststelling geldt nadrukkelijk niet voor geld dat gebruikers rechtstreeks in Tectonic hadden gestort. Tectonic is een los, onafhankelijk protocol dat toevallig op Cronos draait, geen onderdeel van Crypto.com. Het incident maakt daarmee een verschil zichtbaar dat veel gebruikers over het hoofd zien: saldo op een gecentraliseerde beurs, activa die simpelweg op een blockchain staan en geld dat in een DeFi-contract is vastgezet zijn drie verschillende dingen.

Wat nu?

De inzet is fors. Volgens on-chain data had Tectonic voor de aanval ruim 121 miljoen dollar aan totale waarde vergrendeld en zo’n 82,7 miljoen dollar aan uitstaande leningen. Dat geld zit nu vast. Voordat Cronos kan herstarten, moet duidelijk worden of de betrokken adressen veilig kunnen bewegen en hoeveel oninbare schuld er in Tectonic is achtergebleven. Tectonic waarschuwt gebruikers om niet met het protocol te interacteren tot het veilig is. De markt reageerde intussen koel: CRO handelde tijdens de verstoring ongeveer 5 procent hoger, waarschijnlijk omdat het meeste geld nooit van de keten af kwam. Een restarttijd, een herstelplan en een regeling voor gedupeerde storters ontbreken. Marszalek beloofde een volledige post-mortem, zonder datum.