Blockchain Cronos musel po odhalení závažného exploitu zastavit provoz celé sítě. Útok se zaměřil na decentralizovaný úvěrový protokol Tectonic. Podle předběžných odhadů může být ohroženo přibližně 75 milionů dolarů v kryptoměnách. Většina prostředků podle dostupných informací stále zůstává na síti Cronos. Vyšetřování pokračuje a zatím není jasné, kdy se blockchain znovu rozběhne. Crypto.com zároveň uvedlo, že jeho aplikace ani burza útok nezasáhl.
Cronos kvůli útoku zastavil síť
Cronos v neděli oznámil, že objevil exploit související s protokolem Tectonic. Následně přistoupil k zastavení blockchainu, aby zabránil dalším škodám. Tectonic zároveň vyzval uživatele, aby s protokolem dočasně nijak neinteragovali.
Ani Cronos, ani Tectonic v době psaní článku nepotvrdily přesnou příčinu útoku ani konečnou výši ztrát. Stejně tak nebylo jasné, kdy se provoz sítě obnoví.
Situace je proto stále otevřená. Předběžné odhady analytiků se navíc v průběhu vyšetřování měnily, protože se postupně objevovaly další adresy kontrolované útočníkem.
Hacker využil slabinu v TONIC
Bezpečnostní výzkumník Weilin Li popsal útok jako variantu takzvaného pump-and-borrow útoku, který připomíná dřívější útoky na DeFi protokoly. Útočník měl využít nízkou likviditu tokenu TONIC a jeho nastavený 20% kolaterální faktor.
Podle Liho následně dokázal během pouhých 20 minut zvýšit cenu TONIC přibližně stonásobně. Uměle navýšenou hodnotu tokenu pak využil jako zástavu k půjčení dalších aktiv z protokolu.
Princip je poměrně jednoduchý, ale pro DeFi představuje zásadní problém. Pokud protokol při výpočtu hodnoty kolaterálu příliš spoléhá na cenu aktiva s nízkou likviditou, může manipulace trhu vytvořit útočníkovi prostor k získání výrazně větší hodnoty, než jakou skutečně vložil.
Odhad ztrát vzrostl na 75 milionů dolarů
První odhad Weilin Liho hovořil o přibližně 66 milionech dolarů. Útočník podle něj před zastavením sítě převedl zhruba 6 milionů dolarů na Ethereum.
Dalších přibližně 60 milionů dolarů mělo v době zastavení stále zůstat na síti Cronos. Později Li objevil ještě jednu adresu kontrolovanou útočníkem, na které se nacházelo dalších zhruba 8 milionů dolarů.
Celkový odhad se tím zvýšil na přibližně 75 milionů dolarů. Je však důležité zdůraznit, že jde o předběžný výpočet a konečný rozsah škod zatím projekty oficiálně nepotvrdily.
Crypto.com ujišťuje uživatele
Incident vyvolal pochopitelné obavy také kvůli propojení ekosystému Cronos s kryptoměnovou společností Crypto.com. Její generální ředitel Kris Marszalek však uvedl, že aplikace ani burza Crypto.com nebyly útokem zasaženy a fungují normálně.
Marszalek zároveň ujistil uživatele, že prostředky držené na těchto službách jsou v bezpečí. To je důležitá informace, protože zastavení blockchainu Cronos může na první pohled působit jako problém, který zasahuje celý ekosystém.
Ve skutečnosti je však potřeba rozlišovat mezi samotným blockchainem Cronos, protokolem Tectonic a centralizovanými službami Crypto.com. Každá z těchto částí představuje jinou vrstvu infrastruktury.
Co bude s ukradenými prostředky?
Jednou z největších otázek nyní zůstává, co Cronos a Tectonic s prostředky útočníka udělají. Projekty zatím neuvedly, zda plánují jeho adresy omezit, pokusí se aktiva získat zpět nebo případně odškodní poškozené uživatele.
Zastavení blockchainu může v podobných situacích pomoci získat čas a zabránit dalším pohybům prostředků. Zároveň ale ukazuje na jeden z kontroverzních aspektů některých blockchainových ekosystémů. Otázku, kdo má v krizové situaci dostatečnou pravomoc síť zastavit.
Podle mě bude právě další postup Cronosu a Tectonicu stejně důležitý jako samotný útok. Nejde totiž pouze o výši škody, ale také o to, jak transparentně a rychle projekty situaci vyřeší.
DeFi znovu odhaluje svá rizika
Útok na Tectonic znovu ukazuje, že největší riziko v DeFi nemusí představovat samotná cena kryptoměn. Kritickým bodem může být konstrukce protokolu, nízká likvidita nebo způsob, jakým systém stanovuje hodnotu kolaterálu. Manipulace ceny tokenu během několika minut následně může otevřít cestu k půjčkám v řádu desítek milionů dolarů.
Za pozornost považuji také skutečnost, že většina prostředků podle předběžných odhadů v době zastavení stále zůstávala na Cronosu. To znamená, že další hodiny a dny mohou být pro celý případ zásadní. Pokud se podaří významnou část aktiv zmrazit nebo získat zpět, konečná bilance může vypadat výrazně jinak než současný odhad 75 milionů dolarů.
Pro celý sektor DeFi jde o další připomínku, že technologická decentralizace sama o sobě neznamená odstranění rizika. Protokoly musí počítat také s manipulací trhů, nedostatečnou likviditou a ekonomickými útoky na své mechanismy. Právě tyto slabiny mohou být pro uživatele mnohem nebezpečnější než běžná volatilita kryptoměn.
Jak podle vás Cronos a Tectonic celou situaci vyřeší? Měly by se pokusit prostředky zmrazit a získat zpět, nebo by podobné zásahy do blockchainu neměly být možné? Dejte nám vědět v komentářích.
Mějte trh pod kontrolou
Sledujte bitcoin, kryptoměny, on-chain data i makroekonomiku na jednom místě