Cronos ha bloccato completamente la sua blockchain domenica dopo che un attaccante ha svuotato Tectonic, il più grande protocollo di lending sulla rete. Crypto.com ha dichiarato che la propria app e l’exchange non sono mai stati interessati.
La maggior parte dei fondi non ha mai lasciato la chain prima che i validatori la bloccassero, probabilmente spiegando perché il prezzo del token CRO è rimasto stabile, aumentando di quasi il 5%.
Come sono collegati Cronos, Tectonic e Crypto.com
Sono tre nomi che indicano realtà diverse. Crypto.com ha costruito Cronos, una chain simile a Ethereum, ed emette il token CRO che la garantisce.
Tectonic non è un prodotto di Crypto.com. È stata lanciata a dicembre 2021 grazie all’incubatore di Cronos Labs e opera in modo indipendente.
Questo rende vera, ma limitata, la rassicurazione di Crypto.com. L’exchange non è mai stato esposto. I depositanti su Tectonic sono invece in una situazione diversa.
Tectonic costituiva comunque quasi tutto il mercato di lending su Cronos. Deteneva circa 121,6 milioni di dollari, pari al 46% del valore totale DeFi sulla chain, secondo i dati di DefiLlama. Il secondo protocollo di lending più grande gestisce solo circa 30.000 dollari.
Cosa hanno confermato le aziende
Cronos Network ha dichiarato di aver individuato l’exploit e fermato la produzione di blocchi. Tectonic ha avvisato i depositanti di evitare la piattaforma.
Kris Marszalek, CEO di Crypto.com, ha spiegato che app ed exchange hanno funzionato normalmente e che seguirà una relazione di post mortem.
Seguici su X per ricevere le ultime notizie in tempo reale
Nessuno ha ancora chiarito se i depositanti su Tectonic saranno rimborsati.
Perché questo exploit su Tectonic potrebbe finire diversamente
La ricercatrice Weilin Li ha stimato il furto a circa 75 milioni di dollari. Solo circa 6 milioni sono arrivati su Ethereum prima del blocco, ha spiegato Li. Circa 60 milioni di dollari risultano bloccati su Cronos. Si tratta di circa il 91% del bottino, destinato a rimanere fermo.
Considerate questi numeri come provvisori: nulla è certo finché non sarà pubblicato il post mortem.
Si può confrontare l’exploit di Moonwell da 8,7 milioni di dollari, avvenuto solo tre giorni prima. Base ha continuato a produrre blocchi. I fondi sono stati trasferiti.
Cronos ha potuto fermarsi proprio per come è costruita. Utilizza Tendermint con un limite di 100 validatori, il che rende possibile una pausa coordinata.
Ci sono anche dei precedenti. Un exploit su un bridge ha creato 570 milioni di dollari su BNB Chain nell’ottobre 2022. Nel giro di cinque ore, 26 validatori hanno fermato la rete e recuperato quasi 470 milioni di dollari.
Il compromesso è quello emerso nel dibattito sulla pausa della chain Linea. Una chain che può essere spenta è anche una chain su cui possono essere recuperati i fondi. Una stessa caratteristica, valutata in due modi diversi.
A questo punto la scelta spetta ai validatori. Tornare indietro, inserire l’attaccante in blacklist o riavviare senza cambiamenti. Da questa decisione dipenderà se i 60 milioni di dollari, anche se solo in modo provvisorio, potranno tornare a casa.
