Tectonic-Exploit legt Cronos-Blockchain vorerst lahm

Cronos hat am 30. August die Blockproduktion komplett gestoppt, nachdem ein Exploit bei der dezentralen Kreditplattform Tectonic aufgefallen war. Der unabhängige Blockchain-Analyst Weilin Li beziffert den betroffenen Betrag auf rund 75 Millionen US-Dollar – eine Schätzung, keine bestätigte Zahl. Weder Cronos noch Tectonic hatten bis zum 31. August Ursache oder Gesamtschaden öffentlich bestätigt, und ein Großteil der identifizierten Mittel scheint weiterhin auf der Cronos-Chain festzusitzen.

TONIC als Sicherheit: Wie der mutmaßliche Angriff ablief

Laut Lis Analyse liegt die Ursache im Umgang mit TONIC, dem Governance-Token von Tectonic. Der Token wurde demnach mit einem Collateral-Faktor von 20 Prozent akzeptiert, obwohl seine Marktliquidität äußerst dünn war. Der Angreifer soll den Preis von TONIC laut Li innerhalb von rund 20 Minuten etwa das Hundertfache in die Höhe getrieben und die künstlich aufgeblähten Token anschließend als Sicherheit hinterlegt haben, um andere Assets aus dem Protokoll zu leihen.

Li ordnet das Muster einer „Mango-Market-artigen“ Pump-and-Borrow-Attacke zu – eine Einschätzung, die als unabhängige Analyse zu werten ist, da Tectonic selbst noch keinen technischen Bericht veröffentlicht hat. Ursprünglich bezifferte Li den Schaden auf rund 66 Millionen Dollar: etwa 6 Millionen Dollar sollen vor dem Netzwerkstopp auf Ethereum abgeflossen sein, während rund 60 Millionen Dollar auf einer Cronos-Adresse verblieben. Eine später identifizierte zweite Adresse mit weiteren rund 8 Millionen Dollar erhöhte seine Gesamtschätzung auf etwa 75 Millionen Dollar. Alle Zahlen basieren auf Adress-Zuordnung und Token-Bewertung und sind damit vorläufig – dass Mittel auf Cronos verblieben sind, bedeutet zudem nicht, dass sie bereits gesichert wären.

Ähnliche Konstellationen aus dünn gehandelten, aber überbewerteten Sicherheiten haben bereits andere DeFi-Protokolle getroffen, etwa den geschätzten 8,7-Millionen-Dollar-Exploit bei Moonwell kurz vor dem Tectonic-Vorfall, sowie den historischen Fall Mango Markets, bei dem aufgeblähtes Governance-Token-Collateral Kredite gegen liquidere Assets ermöglichte. Wie schnell ein Protokoll nach einem Angriff Gegenmaßnahmen ergreifen kann, zeigt auch der Fall der Term-Vaults nach einem Governance-Exploit.

Cronos, Tectonic, Crypto.com: Drei getrennte Ebenen

Tectonic ist trotz seiner engen Verbindung zu Cronos und Crypto.com eine eigenständig betriebene DeFi-Anwendung. Crypto.com-CEO Kris Marszalek erklärte, App und zentrale Börse des Unternehmens liefen normal weiter, alle dort gehaltenen Gelder seien sicher. Diese Aussage bezieht sich laut Quelle jedoch ausdrücklich nicht auf Mittel, die direkt in Tectonic eingezahlt wurden.

Der Vorfall macht damit einen Unterschied deutlich, den viele Nutzer im Alltag verwischen: Guthaben auf einer zentralen Börse, On-Chain gehaltene Assets und in DeFi-Verträgen hinterlegte Einlagen sind rechtlich und technisch getrennte Ebenen. Ein Ausfall auf einer Ebene kompromittiert nicht automatisch die anderen mit demselben Ökosystem verbundenen Dienste – ein Muster, das sich auch bei früheren Netzwerkstopps zeigte, etwa beim Netzwerkstopp von MANTRA nach einem Softwareangriff.

Ungewisster Neustart: Was noch offen bleibt

Ein Zeitplan für den Neustart, ein Wiederherstellungsplan oder ein Entschädigungsrahmen für betroffene Nutzer wurden bislang nicht kommuniziert. Cronos muss zunächst klären, ob die identifizierten Adressen Mittel bewegen können, bevor die Blockproduktion wieder aufgenommen wird.

• Bad Debt: Validatoren und Tectonic müssen prüfen, ob der Angreifer offene Kreditausfälle in den Lending-Märkten hinterlassen hat.
• Nutzerwarnung: Tectonic warnte Anwender davor, mit dem Protokoll zu interagieren, bis Sicherheit bestätigt ist – Einzahlungen, Rückzahlungen, Liquidationen und Auszahlungen bleiben während des Stopps blockiert.
• Governance-Fragen: Ob Adressen eingefroren, Transaktionen rückgängig gemacht oder Verhandlungen mit dem Angreifer geführt werden, ist unklar – jeder Eingriff würde Fragen zur Finalität von Transaktionen auf der Chain aufwerfen.

Wie BeInCrypto berichtet, hielt Tectonic bis zum Vorfall rund 46 Prozent des gesamten DeFi-Werts auf Cronos – ein Gewicht, das die Tragweite des Ausfalls für das Ökosystem unterstreicht. Belastbare nächste Updates dürften sich um den Neustart der Chain, die endgültige Schadenssumme, verbleibende Bad Debt sowie den Umgang mit betroffenen Einlegern drehen; bis dahin bleiben alle genannten Zahlen vorläufige Schätzungen einzelner On-Chain-Analysten.