Cronos: після експлойту Tectonic не повернуто $9,19 млн

Cronos повідомила, що після експлойту кредитного протоколу Tectonic невідшкодованими залишаються $9,19 млн. Водночас мережа виконала узгоджений валідаторами відкат блокчейна, що дозволив відновити близько $111,2 млн коштів, які постраждали внаслідок атаки. За даними Cronos, 30 серпня зловмисник скористався вразливістю в системі застави Tectonic. Він розгорнув контракти, які штучно підняли ціну TONIC — токена управління протоколу. Через обмежену ліквідність активу зловмисник зміг спотворити котирування, завищивши оцінку внесеної застави. Приблизно через 10 хвилин після цього він оформив позики на загальну суму $120,4 млн у дев'яти ринках Tectonic. Cronos зафіксувала підозрілу активність приблизно через 36 хвилин після початку атаки та разом із валідаторами запустила аварійні процедури. Виробництво блоків зупинили на блоці 90,907,150, щоб не допустити подальших транзакцій через скомпрометовану схему. Після досягнення консенсусу валідатори схвалили відкат до блоку 90,896,188 — останнього зафіксованого до експлойту. Відкат скасував несанкціоновані запозичення та повернув баланси, відновивши приблизно $111,2 млн. Це обмежило можливість зловмисника контролювати більшість активів, отриманих завдяки маніпуляції заставою. Водночас кошти, які вже були виведені через мости, біржі або в інші мережі, повернути не вдалося. До моменту зупинки мережі зникло близько $9,19 млн — орієнтовно 7,6% від загальної суми уражених коштів. Оскільки відкат повернув ланцюг до попереднього стану, він також анулював легітимні транзакції, виконані в період компрометації. Cronos відкинула 10,961 блок — 1 годину 54 хвилини мережевої активності. У компанії зазначили, що рішення вимагало компромісу між фінальністю транзакцій і ризиком втрати коштів. Після втручання валідаторів випуск блоків відновили приблизно через 11 годин від початку інциденту, а уражені баланси повернули до попередніх значень. Cronos також відновила роботу блок-експлорера, індексаторів, сабграфів та публічних RPC-ендпоїнтів. Команда координує звірку транзакцій, видалених під час відкату, із зовнішніми біржами, мостами та платформами, яких торкнулася подія. У звіті postmortem не повідомляється про ідентифікацію зловмисника та не пояснюється, як мережа планує повернути решту $9,19 млн. Після публікації інформації токен Cronos (CRO) подорожчав на 0,62% за 24 години й торгувався поблизу $0,058.