Chronos và Tectonic bị tấn công, thiệt hại 75 triệu đô la, khiến toàn bộ hệ thống blockchain bị đình chỉ

Mạng lưới blockchain Cronos, do Crypto.com vận hành, đã ngay lập tức tạm dừng việc tạo khối trên toàn mạng sau khi xảy ra vụ tấn công vào giao thức cho vay DeFi Tectonic vào Chủ nhật. Tectonic là giao thức cho vay DeFi đầu tiên trên mạng Cronos và là dịch vụ lớn nhất, chiếm gần một nửa tổng số tài sản ký quỹ DeFi trên mạng. Trước khi xảy ra sự cố, Tectonic có khoảng 121,7 triệu đô la Mỹ tài sản ký quỹ và khoảng 82,7 triệu đô la Mỹ cho vay đang hoạt động. Mức độ thống trị của Tectonic là rất lớn, khi mà tài sản ký quỹ của Mimas Finance, giao thức cho vay lớn thứ hai trên mạng, chỉ có khoảng 30.000 đô la Mỹ. Phương thức tấn công tương tự như vụ việc Mango Markets năm 2022, gây thiệt hại khoảng 100 triệu đô la Mỹ, sử dụng kỹ thuật thao túng giá và cho vay. Theo nhà nghiên cứu blockchain Waylin Lee, kẻ tấn công đã tăng giá của token quản trị TONIC, vốn chỉ có tính thanh khoản khoảng 1,34 triệu đô la Mỹ, lên gấp 100 lần chỉ trong 20 phút, sau đó sử dụng giá trị tài sản đảm bảo được tăng lên để rút một lượng lớn tiền. Nguyên nhân gốc rễ là do Tectonic áp dụng tỷ lệ đảm bảo 20% cho token quản trị của riêng mình, vốn có tính thanh khoản rất thấp. Điều này tương đương với việc chấp nhận 1/5 giá trị thực tế mà thị trường có thể hỗ trợ làm tài sản đảm bảo. Thiệt hại ban đầu được ước tính là 66 triệu đô la Mỹ, sau đó được điều chỉnh lên khoảng 75 triệu đô la Mỹ khi phát hiện thêm 8 triệu đô la Mỹ từ các địa chỉ do kẻ tấn công kiểm soát. Công ty bảo mật PeckShield cũng đưa ra con số tương tự, khoảng 74 triệu đô la Mỹ. Một số phân tích on-chain khác ước tính tổng số tiền bị rút khỏi pool là khoảng 119,5 triệu đô la Mỹ. Cronos có thể nhanh chóng tạm dừng mạng lưới vì mạng lưới này hoạt động với một tập hợp hạn chế gồm 100 người xác thực. Nhờ đó, thiệt hại đã được hạn chế phần nào, nhưng khoảng 6 triệu đô la Mỹ đã bị chuyển qua cầu nối sang Ethereum trước khi mạng lưới bị tạm dừng, và khoảng 60 triệu đô la Mỹ còn lại vẫn bị "đóng băng" trên mạng Cronos. Một số tài sản được phân tích là đã được gửi vào các pool của sàn giao dịch phi tập trung để tránh bị liệt vào danh sách đen, và trong thời gian này, khoảng 61 triệu đô la Mỹ đã đổ vào sàn giao dịch phi tập trung lớn nhất trên Cronos trong vòng 24 giờ. Việc tạm dừng mạng lưới đã khiến tất cả các giao dịch, cho vay và vị thế tự động của người dùng thông thường, không liên quan đến Tectonic, đều bị tạm dừng. CEO của Crypto.com, Kris Marszalek, tuyên bố rằng sàn giao dịch và ứng dụng vẫn hoạt động bình thường và tài sản của khách hàng vẫn an toàn, đồng thời hứa sẽ công bố báo cáo phân tích sau sự cố. Tectonic khuyến cáo người dùng không nên tương tác với giao thức cho đến khi xác minh an toàn được hoàn tất. Đây không phải là lần đầu tiên Tectonic gặp sự cố bảo mật, trước đó đã có hai sự cố liên quan đến lỗi logic của giao thức vào tháng 2 năm 2024 (250.000 đô la Mỹ) và tháng 11 năm 2024. Cả Cronos và Tectonic vẫn chưa đưa ra bất kỳ thông báo chính thức nào về lịch trình tái hoạt động của mạng lưới, tổng thiệt hại cuối cùng, cũng như việc liệu có bồi thường cho người dùng hay không.