Эксплуатация Cronos Tectonic: как манипуляция ценой TONIC спровоцировала кризис DeFi на $75 млн
2026/08/31 17:30:00
Инцидент имеет значение не только из-за заявленных потерь. Сообщается, что у TONIC до того, как его цена выросла примерно в 100 раз за 20 минут, было всего около 1,34 миллиона долларов ликвидности и около 11 000 долларов ежедневного объёма торгов. Атака поднимает фундаментальный вопрос для децентрализованных кредитных платформ: как токен с такой ограниченной глубиной рынка может поддерживать займы на миллионы долларов? Последующее отключение Cronos добавляет второй спор — является ли остановка блокчейна для сдерживания потерь ответственным экстренным управлением или доказательством ограниченной децентрализации.
Что произошло с Tectonic и Cronos?
Tectonic функционирует как децентрализованный кредитный рынок на Cronos, позволяя пользователям делать депозит крипто активов и брать в долг другие токены под залог. До инцидента это было одним из самых важных DeFi-приложений сети. Данные DefiLlama, цитируемые CoinDesk, показывали, что 26 августа в Tectonic было заблокировано около 121,7 млн долларов США, что составляло почти половину капитала, депонированного в DeFi Cronos на тот момент. К 31 августа эта цифра снизилась до примерно 3 млн долларов США.
Видимая атака была сосредоточена на TONIC — собственном токене экосистемы Tectonic. Анализ блокчейна показывает, что злоумышленник резко повысил рыночную цену TONIC, внес новые завышенные токены TONIC в протокол кредитования, а затем занял ликвидные активы под них. Как только масштаб эксплуатации уязвимости стал ясен, валидаторы Cronos координировали остановку сети, предотвратив обработку новых транзакций. Tectonic также сообщила пользователям не взаимодействовать с протоколом во время расследования инцидента.
Ранние оценки помещали эксплуатацию около $66 млн, прежде чем дополнительные активы, связанные с атакующим, якобы увеличили оценочную сумму до $75 млн. Это число остается оценкой, а не окончательным учетом. По состоянию на понедельник утром Cronos и Tectonic не подтвердили публично окончательные потери или не объявили график возобновления нормальной деятельности сети.
Как работала манипуляция ценой TONIC?
Предполагаемая уязвимость проще понять как проблему с заимствованием, чем как традиционную взлом программного обеспечения. Протокол децентрализованного кредитования должен определить, сколько обеспечения принадлежит пользователю, и сколько другого актива это обеспечение должно позволять пользователю взять в долг. Если обеспечением является ETH или BTC, глубокая глобальная ликвидность делает сравнительно трудным для одного трейдера значительно изменить рыночную цену. TONIC был совершенно другим. При ограниченной ликвидности и объеме торгов его заявленная цена, по всей видимости, могла быть значительно сдвинута при сравнительно небольшом капитале.
Данные блокчейна, приведенные CoinDesk, указывают, что злоумышленник поднял цену TONIC примерно в 100 раз за 20 минут. Как только токен приобрел резко повышенную рыночную капитализацию, злоумышленник внес TONIC в Tectonic. Протокол затем воспринял эти токены как значительно более ценное обеспечение и разрешил аккаунту взять в долг ликвидные активы под них. У TONIC коэффициент обеспечения составлял 20%, что означало, что каждые $100 стоимости, признанные протоколом, могли поддерживать примерно $20 заимствований.
Упрощённый пример показывает, почему это может стать опасным. Представьте позицию токена, которая в нормальных рыночных условиях реально стоит 1 миллион долларов. Если её заявленная цена временно манипулируется в 100 раз выше, протокол может внезапно оценить ту же позицию в 100 миллионов долларов. Даже при консервативном коэффициенте залога 20% эта искусственная оценка может создать кредитный лимит в 20 миллионов долларов. Когда цена токена позже вернётся к реальному уровню, протокол окажется с залогом, который не покроет уже заёмные активы.
Почему TONIC был таким уязвимым?
Основная проблема, судя по всему, заключается в глубине рынка. До эксплуатации TONIC, по сообщениям, имел примерно 1,34 миллиона долларов ликвидности и всего около 11 000 долларов ежедневного объёма торгов. Эти показатели чрезвычайно малы по сравнению с десятками миллионов долларов заимствований, которые в конечном итоге, по всей видимости, поддерживались манипулируемым обеспечением. Сама документация Tectonic предупреждала, что активы с низкой ликвидностью особенно уязвимы к манипуляциям ценой.
Это подчеркивает одно из самых важных различий в DeFi-кредитовании: цена не то же самое, что ликвидность. Токен может показывать рыночную цену в $1, но это не означает, что протокол сможет ликвидировать токены на сумму $20 млн по цене, близкой к $1. Цены обычно отражают маржинальные сделки — последнюю сумму, уплаченную за относительно небольшое количество. Ликвидация большой позиции может быстро пройти через книгу ордеров или ликвидный пул, вызывая серьезное проскальзывание.
Таким образом, рынок кредитования должен задавать не только вопрос «Какова текущая стоимость этого токена?», но и «Сколько этого токена можно реалистично продать, если крупного заемщика придется ликвидировать?». Актив может иметь обоснованную котируемую цену и при этом не подходить для обеспечения крупных сумм долга.
Почему коэффициент залога 20% не остановил атаку?
На первый взгляд, коэффициент залога в 20% выглядит осторожно. Если залог на сумму $100 может поддерживать только $20 долга, протокол, кажется, имеет большой запас безопасности. В обычных рыночных условиях этот запас может помочь защитить кредиторов от умеренного падения цен и дать ликвидаторам время закрыть нездоровые позиции.
Проблема в том, что консервативный параметр риска не может полностью компенсировать резко искажённую входную цену. Если реальная экономическая стоимость токена составляет 1 миллион долларов, но его признанная обеспечительная стоимость временно возрастает до 100 миллионов долларов после манипуляций с ценой, коэффициент в 20% всё равно создаёт кредитный лимит в 20 миллионов долларов. Система применяет осторожный процент к ненадёжной оценке.
Вот почему коэффициенты залога нельзя рассматривать изолированно. Лимиты на заимствование, ликвидность рынка, конструкция оракулов, лимиты концентрации и ожидаемая глубина ликвидации все имеют значение. Протокол может использовать низкий коэффициент кредит-к-стоимости залога и все равно стать уязвимым, если сам залог может быть переоценен намного быстрее, чем рисковые контрмеры протокола смогут среагировать.
Был ли это взлом оракула или экономическая эксплуатация?
Называть инцидент с Tectonic «взломом оракула» может быть преждевременно. Публичные данные не подтвердили, что злоумышленник скомпрометировал программное обеспечение оракула или напрямую изменил код, отвечающий за передачу цен. Вместо этого доступные данные указывают на манипуляции с базовым рынком, с которого протокол получал или проверял цену TONIC.
Эта разница имеет значение. Оракул может точно сообщить, что токен торгуется по определённой цене, в то время как сама цена экономически ненадёжна, поскольку базовый рынок крайне тонкий. Если атакующий может потратить относительно небольшую сумму капитала, чтобы переместить цену токена с одного уровня на другой, оракул может достоверно передать манипулированную цену протоколу кредитования. Оракул не обязательно повреждён; рынок, питающий его, стал поверхностью атаки.
| Тип сбоя | Что происходит |
| Компрометация Oracle | Сама система отчетности о ценах манипулируется или взламывается |
| Манипулирование рынком | Атакующий перемещает рынок базового токена, и новая цена достигает протокола |
| Экономическая эксплуатация | Правила протокола работают как задумано, но приводят к эксплуатируемому финансовому результату |
На основании текущей доступной информации инцидент с Tectonic лучше описывается как предполагаемое манипулирование ценой или экономическая эксплуатация, пока протокол не опубликует полный анализ корневой причины. Это различие важно, поскольку предотвращение экономической эксплуатации часто требует изменений в дизайне рыночного риска, а не просто исправления программного обеспечения.
Почему Cronos остановил весь блокчейн?
После выявления атаки валидаторы Cronos предприняли необычно агрессивные действия: они остановили создание блоков для всей сети. Остановка блокчейна препятствует завершению новых транзакций. Это означает, что атакующий не может продолжать обменивать, переводить или распределять активы — но также означает, что обычные пользователи временно теряют возможность перемещать свои собственные средства.
Логика немедленной безопасности проста. Как только украденные или неправомерно заимствованные активы были переведены на другую цепочку, их становится намного сложнее контролировать для исходной сети. Злоумышленник может распределить средства между кошельками, обменять их на другие активы или направить их через несколько протоколов. Остановив базовую цепочку, валидаторы могут заморозить ситуацию до того, как все эти действия будут выполнены.
В этом случае остановка, по сообщениям, оставила большую часть средств, связанных с эксплуатацией, заблокированными на Cronos, вместо того чтобы позволить им покинуть экосистему. Это может значительно улучшить перспективы ограничения или восстановления. Но важно различать заблокированные и восстановленные активы. Активы, оставшиеся на адресах, контролируемых злоумышленником, на Cronos, не возвращаются автоматически депозиториям Tectonic просто потому, что сеть остановилась.
Защищал ли остановка цепочки пользователей или навредил децентрализации?
Экстренное вмешательство немедленно вызвало более широкую дискуссию о том, чего пользователи должны ожидать от блокчейна. Программное обеспечение Cronos ограничивает набор валидаторов 100, структура, которая обеспечила возможность быстрой координации. Согласно CoinDesk, относительно небольшая группа валидаторов смогла координировать остановку в течение нескольких минут.
С точки зрения ограничения убытков, эта возможность может быть ценной. Если выбор стоит между позволением злоумышленнику украсть десятки миллионов долларов или временной остановкой цепочки, многие депозиторы могут предпочесть вмешательство. BNB Chain столкнулась с похожим решением после эксплойта моста в 2022 году, когда валидаторы приостановили сеть после атаки, связанной с примерно 570 миллионами долларов. CoinDesk отмечает, что в конечном итоге было восстановлено или предотвращено утечку почти 470 миллионов долларов.
Стоимость носит как философский, так и операционный характер. Блокчейны часто позиционируются как устойчивые к цензуре, обладающие достоверной нейтральностью и идеей, что ни одна централизованная сторона не контролирует расчеты. Сеть, которую можно намеренно отключить, демонстрирует, что человеческая координация может переопределить непрерывную работу в чрезвычайных ситуациях. Это не делает решение автоматически неправильным, но выявляет реальный компромисс: большая способность к вмешательству может улучшить безопасность в чрезвычайных ситуациях, ослабляя при этом предположения о неостановимости расчетов.
Насколько серьезен ущерб для Tectonic?
Влияние на публичные децентрализованные финансовые показатели Tectonic было серьезным. Данные DefiLlama, приведенные CoinDesk, показывают, что общая заблокированная стоимость снизилась с примерно 121,7 млн долларов США 26 августа до примерно 3 млн долларов США к 31 августа. Это означает падение более чем на 95% в заявленной TVL за очень короткий период.
Однако было бы неверно интерпретировать весь спад как кражу денег злоумышленником. TVL может снижаться по нескольким причинам, включая потери протокола, колебания цен на активы, выводы средств, изменения в учете контрактов и саму остановку сети. Оценочный размер эксплойта остается около 75 миллионов долларов, а не полного снижения заявленной заблокированной стоимости Tectonic.
Более длительный ущерб может быть нанесен доверию. Кредитные приложения зависят от того, что депозиторы верят в то, что залог правильно оценен, и что заемщики не могут извлечь ценные активы против позиций, которые не могут быть ликвидированы. Как только это предположение нарушается, пользователи могут выводить средства, даже если их индивидуальные депозиты не были напрямую затронуты. Для Tectonic восстановление доверия может потребовать не только возврата средств; оно может потребовать переработанной системы залога и прозрачного объяснения того, как эксплуатация стала возможной.
Почему это выглядит как эксплуатация Mango Markets
Атака вызвала сравнения с инцидентом на Mango Markets в 2022 году, поскольку базовая экономическая структура аналогична. В обоих случаях относительно мало торгуемый актив использовался для создания значительно большей кажущейся стоимости залога, которая затем поддерживала заимствования через протокол DeFi. Критическая уязвимость заключалась не просто в владении токеном — она заключалась в способности влиять на цену, по которой система кредитования оценивала этот токен.
Сравнение важно, потому что оно показывает, что атаки «накачка-заем» — это не новая теоретическая угроза. DeFi имел годы на изучение взаимосвязи между неликвидным обеспечением и безопасностью кредитного рынка, однако протоколы по-прежнему испытывают давление, чтобы поддерживать новые активы, поскольку пользователи хотят дополнительной возможности займа, а экосистемы стремятся сделать свои собственные токены более полезными.
Это создает структурное напряжение. Если протоколы кредитования принимают только BTC, ETH и основные стейблкоины, они сокращают экономические поверхности атак, но ограничивают спектр активов, которые пользователи могут эффективно использовать. Если они принимают токены меньших экосистем, они повышают капитальную эффективность и полезность токенов, но потенциально подвергают кредиторов рынкам, цены на которых могут легче изменяться, чем долг, который эти цены поддерживают.
Коллатерал с низкой ликвидностью становится все более значимым риском для DeFi
Tectonic также появляется на фоне нескольких инцидентов, которые возобновили обеспокоенность по поводу тонких рынков залога. CoinDesk сообщила, что на прошлой неделе Moonwell стал жертвой аналогичной атаки, в ходе которой злоумышленник манипулировал малоликвидным токеном, используемым в качестве залога. В другом случае изменение на 3% на рынке Pendle с низкой ликвидностью вызвало ликвидацию примерно на $36 млн на Morpho.
Эти события указывают на более широкое изменение в понимании безопасности DeFi. Традиционные обсуждения безопасности часто сосредоточены на уязвимостях смарт-контрактов, скомпрометированных приватных ключах, неисправных мостах и атаках на управление. Эти риски остаются важными, но децентрализованные финансы могут также потерпеть неудачу, даже если каждый контракт выполняет точно те действия, которые предполагали разработчики.
Экономическая безопасность поэтому заслуживает равного внимания. Протокол может быть технически безопасным, но финансово хрупким из-за слабого выбора обеспечения, концентрированной ликвидности, агрессивных лимитов займа или предположений оракулов, которые работают только в нормальных рыночных условиях. Инцидент с Tectonic подтверждает простой урок: правильный код не может спасти небезопасный дизайн рынка.
Что могут узнать протоколы децентрализованного кредитования из Tectonic?
Один из уроков заключается в том, что лимиты залога должны отражать исполнимую ликвидность, а не заявленную рыночную капитализацию. Если ликвидаторы реально могут продать лишь несколько сотен тысяч долларов токена до возникновения серьезного проскальзывания, протоколу следует быть осторожным при разрешении этому активу поддерживать заемы на десятки миллионов долларов. Лимиты займа и коэффициенты залога должны, следовательно, реагировать не только на волатильность, но и на изменяющуюся глубину рынка.
Дизайн оракула также требует нескольких уровней защиты. Взвешенные по времени цены, независимые источники данных и обнаружение аномалий могут затруднить прямое преобразование кратковременного манипулирования в кредитную мощность. Однако улучшения оракулов сами по себе не могут устранить риск, если легитимный рынок актива сам по себе слишком мал. Более рискованные обеспечения могут требовать изолированных рынков, чтобы проблемы с одним токеном длинного хвоста не могли опустошать пулы, содержащие основные стейблкоины или активы высокой капитализации.
Более крупный принцип прост: залог должен оцениваться на основе того, что он может реально принести при ликвидации, а не просто по последней заявленной цене. Для протоколов кредитования ликвидность является частью оценки. Раздельное рассмотрение этих двух понятий может создать именно тот тип несоответствия, которого ищет экономический атакующий.
Что будет дальше с Cronos и Tectonic?
Инцидент остается неразрешенным. По состоянию на последний отчет от 31 августа, Cronos и Tectonic не объявили подтвержденную оценку убытков или график возобновления работы сети. Это означает, что несколько самых важных вопросов пока не могут быть definitively ответы, включая, сколько денег можно восстановить, останутся ли активы, контролируемые злоумышленником, замороженными, и какие изменения будут внесены в параметры риска Tectonic.
Для достоверного плана восстановления, вероятно, потребуется решить как финансовые, так и технические проблемы. Пользователи захотят ясности по поводу затронутых депозитов и любого механизма компенсации, в то время как разработчики должны объяснить, как изменится обращение с залогом TONIC после атаки. Самой сети также необходимо объяснить условия возобновления создания блоков и требуется ли какое-либо дополнительное вмешательство до возобновления транзакций.
Итоговое долгосрочное решение, следовательно, будет зависеть не только от финального числа эксплуатаций. Наиболее важны три вопроса: сколько можно восстановить? Насколько существенно Tectonic переработает свою модель кредитного риска? И вернутся ли депозиторы, как только протокол и сеть возобновят нормальную работу?
Заключение: Tectonic показывает, почему риски DeFi выходят за рамки кода
Эксплуатация Tectonic демонстрирует, как относительно неизвестный рынок может вызвать системные последствия, когда малоликвидный токен используется в качестве залога в крупном кредитном протоколе. Согласно текущим данным, цена TONIC была завышена примерно в 100 раз за 20 минут, после чего завышенные токены были депонированы в Tectonic и использованы для получения в долг более ликвидных активов. Получившееся воздействие оценивается примерно в 75 миллионов долларов, хотя окончательные потери пока не подтверждены.
Решение Cronos остановить блокчейн, возможно, предотвратило уход значительной части пострадавшего капитала из сети, но также возродило старую дискуссию о чрезвычайном вмешательстве и децентрализации. Более важно, что инцидент демонстрирует, что безопасность DeFi нельзя сводить исключительно к аудиту смарт-контрактов.
Токен может иметь видимую рыночную цену, не обладая достаточной ликвидностью для безопасной поддержки этой цены в качестве залога. Таким образом, долгосрочный урок из события Tectonic может касаться не одного атакующего, а самой структуры децентрализованного кредита: протоколы должны понимать не только по какой цене оценивается актив, но и по какой цене этот актив можно реально продать в условиях экстремального стресса на рынке кредитования.
ЧаВо
Была ли Crypto.com взломана в результате эксплуатации Tectonic?
Нет признаков того, что биржа Crypto.com или её основное приложение были скомпрометированы в инциденте с Tectonic. Cronos тесно связан с экосистемой Crypto.com, но Tectonic — это отдельное DeFi-приложение для кредитования, работающее на блокчейне. Эксплуатация затронула систему залога и кредитования Tectonic, а не клиентские балансы в централизованной бирже Crypto.com.
Что такое TONIC и для чего он используется?
TONIC — это токен экосистемы, связанный с Tectonic. Как и многие токены DeFi-протоколов, он использовался в рамках более широкой системы управления и стимулирования проекта. Его роль в инциденте в августе примечательна тем, что Tectonic также принимал TONIC в качестве залога, создав финансową связь между стоимостью собственного токена экосистемы протокола и доступной кредитной мощностью на его рынках кредитования.
Может ли блокчейн остановить обратные транзакции?
Нет. Остановка создания блоков обычно предотвращает подтверждение новых транзакций; она не удаляет автоматически транзакции, которые уже были завершены до остановки. Отмена или перераспределение активов потребуют отдельных технических, управленческих или юридических действий. Именно поэтому средства, связанные с эксплуатацией уязвимости и оставшиеся на Cronos, не следует автоматически описывать как возвращенные.
Почему злоумышленник может переводить средства на ethereum?
Перемещение активов на другую блокчейн-сеть может снизить способность исходной сети контролировать их. Как только средства достигают ethereum, злоумышленник может получить доступ к более глубоким децентрализованным биржам, дополнительным мостам и большему количеству маршрутов для разделения или обмена активов. Перемещение между цепочками может затруднить отслеживание и восстановление, что помогает объяснить, почему валидаторы Cronos имели стимул быстро остановить дальнейшие транзакции.
Могут ли средства на Cronos быть автоматически восстановлены?
Нет. Злоумышленник может по-прежнему контролировать частные ключи к адресам, на которых хранятся активы, даже если эти активы в настоящее время не могут перемещаться из-за приостановки цепочки. Восстановление зависит от того, что произойдет при возобновлении работы сети, будут ли адреса ограничены, сотрудничает ли злоумышленник и какие технические или управленческие действия в конечном итоге выберут Cronos и Tectonic.
Как пользователям определить рискованный залог в протоколе децентрализованного кредитования?
Пользователи могут выходить за рамки заявленных APY и TVL, проверяя, какие активы протокол кредитования принимает в качестве залога, насколько ликвидны эти активы, их объём торгов, коэффициенты залога, лимиты на заимствование и методология оракулов. Токен с большой рыночной капитализацией, но очень низкой ликвидностью может всё ещё быть трудно ликвидировать в условиях стресса. Документация по риску протокола и независимые аудиты могут предоставить дополнительный контекст, но не устраняют рыночные и экономические риски.
🔥 KuCoin предлагает более стабильный вариант на волатильном рынке
Если вас беспокоят частые колебания на рынке, и вы ищете более стабильный способ пассивного заработка, KuCoin — идеальное место:
Simple Earn: Депозит и вывод токенов в любое время с получением стабильной доходности.
KuCoin Earn: Получайте стабильную прибыль с помощью профессионального управления активами.
Холд для заработка: Получайте вознаграждения за хранение активов в Финансовом, Торговом, Маржинальном, Фьючерсном, Майнинговом и Едином аккаунтах.
Стейкинг: Раскройте потенциал дохода от ончейн-активов.
Расширенные инвестиции: Расширенные инвестиции предлагают различные структурированные продукты, чтобы помочь вашим деньгам расти на любом рынке.
Shark Fin: Защита основной суммы и гарантированная прибыль
Бивалютные инвестиции: Покупайте дешево и продавайте дорого с прозрачным расчетом доходности.
Snowball: Высокая доходность с защитой цены.
Покупка со скидкой: Покупайте криптовалюту по сниженным ценам.
KCS Loyalty: Повысьте уровень, чтобы получить эксклюзивные бонусы, заблокировав не менее 1 KCS.
KuCoin Wealth: Откройте для себя будущую стоимость и начните свой путь умных инвестиций.
Преимущества KCS: Держите и стейкайте KCS, чтобы получить доступ к преимуществам на платформе.
KCS Staking 2.0: Участвуйте в управлении KCS в блокчейне для получения дохода.
Отказ от ответственности: Этот материал предназначен исключительно для информационных целей и не является инвестиционной рекомендацией. Инвестиции в криптовалюты сопряжены с рисками. Проведите собственное исследование (DYOR).
Отказ от ответственности: Эта страница была переведена для вашего удобства с использованием технологии искусственного интеллекта. Для получения наиболее точной информации обратитесь к оригинальной английской версии.