Chronos e Tectonic: un attacco informatico da 75 milioni di dollari che ha portato alla sospensione completa della blockchain

La rete blockchain Cronos, gestita da Crypto.com, ha immediatamente interrotto la generazione di blocchi sull'intera catena a seguito di un attacco subito dal protocollo DeFi Tectonic domenica. Tectonic era il primo protocollo di prestito DeFi sulla rete Cronos e il servizio più grande, rappresentando quasi la metà dei depositi DeFi sull'intera catena. Prima dell'incidente, i depositi di Tectonic ammontavano a circa 121,7 milioni di dollari, mentre i prestiti attivi raggiungevano gli 82,7 milioni di dollari. La posizione dominante di Tectonic era tale che i depositi del secondo protocollo di prestito più grande, Mimas Finance, ammontavano a soli circa 30.000 dollari. L'attacco è avvenuto utilizzando la stessa tecnica di manipolazione dei prezzi e di prestito utilizzata nell'incidente di Mango Markets nel 2022, che causò perdite per circa 100 milioni di dollari. Secondo il ricercatore blockchain Waylin Li, l'attaccante ha aumentato il prezzo del token di governance TONIC, che aveva una liquidità di soli 1,34 milioni di dollari, di 100 volte in soli 20 minuti, e ha quindi prelevato ingenti somme di denaro sfruttando il valore collaterale gonfiato. La causa principale è che Tectonic applicava un rapporto di garanzia del 20% sul proprio token di governance, che aveva una liquidità estremamente bassa. In altre parole, il protocollo accettava come garanzia un quinto del valore effettivo che il mercato poteva sostenere. Le perdite inizialmente stimate erano di 66 milioni di dollari, ma sono state riviste a circa 75 milioni di dollari dopo che sono stati identificati ulteriori 8 milioni di dollari controllati dall'attaccante. Anche la società di sicurezza PeckShield ha fornito una stima simile, di circa 74 milioni di dollari. Un'analisi on-chain ha stimato che il totale dei fondi sottratti dal pool fosse di circa 119,5 milioni di dollari. Il team di Cronos è stato in grado di interrompere rapidamente la catena perché la rete opera con un insieme limitato di 100 validatori. Grazie a questo, è stato possibile contenere in parte i danni, ma prima dell'interruzione della catena, circa 6 milioni di dollari sono stati trasferiti su Ethereum tramite un bridge, mentre i restanti circa 60 milioni di dollari sono stati bloccati sulla catena Cronos. Si ritiene che parte dei fondi siano stati depositati in pool di exchange decentralizzati per evitare di essere inseriti in una blacklist, e durante questo periodo, circa 61 milioni di dollari sono stati immessi nel più grande exchange decentralizzato di Cronos in 24 ore. A causa dell'interruzione della catena, tutti i prestiti, le transazioni e le posizioni automatizzate degli utenti comuni, non direttamente correlati a Tectonic, sono stati interrotti. L'amministratore delegato di Crypto.com, Kris Marszalek, ha dichiarato che lo scambio e l'app funzionano normalmente e che i fondi dei clienti sono al sicuro, promettendo un rapporto di analisi post-incidente. Tectonic ha invitato i depositanti a non interagire con il protocollo fino al completamento delle verifiche di sicurezza. Questo non è il primo incidente di sicurezza che coinvolge Tectonic, che ha già subito due errori nel protocollo nel febbraio e nel novembre del 2024, con perdite rispettivamente di 250.000 dollari. Né Cronos né Tectonic hanno ancora rilasciato dichiarazioni ufficiali in merito alla data di riavvio della catena, all'ammontare finale dei danni o alla possibilità di risarcire i depositanti.