Tectonic wurde für 118 Millionen US-Dollar angegriffen; wirklich spannend sind die 83 Sekunden
Das kreditgebende Protokoll Tectonic auf der Cronos-Blockchain wurde Opfer eines Angriffs durch Orakel-Manipulation. Der Angreifer startete um 12:49:39 UTC eine Transaktion, in der er 98-mal hintereinander Kredite aufnahm und TONIC-Token erneut als Sicherheit einsetzte. Dadurch wurde die Beleihungswertermittlung für diesen Token um fast das 200-fache nach oben getrieben. Mit diesem überhöhten Wert lieh er sich dann aus neun Kreditmärkten Vermögenswerte im nominalen Gegenwert von 120,4 Millionen US-Dollar aus – darunter USDC, USDT, WBTC und WETH.
Orakel-Manipulation ist in DeFi kein neues Vorgehen – wirklich diskutierenswert ist die Zeitleiste rund um die Flucht des Diebesguts. Zuerst überbrückte der Angreifer rund 6,3 Millionen US-Dollar in USDC auf Ethereum und tauschte es gegen ETH. Der Rest der Vermögenswerte wurde auf Cronos in CRO umgewandelt. In 28 Tranchen wurden die Bestände über dieselbe Brücke nach außen transferiert; die letzte Tranche wurde schließlich um 14:31:24 (UTC) vollständig abgewickelt. Die Cronos-Validierungs-Knoten setzten um 14:32:47 das Netzwerk aus und rollten den Kettenzustand zurück – zwischen beiden Ereignissen lagen lediglich 83 Sekunden.
Diese 83 Sekunden zeigen zwei Dinge: Erstens ging es dem Angreifer bei der Nachverfolgung der Gelder offenbar bewusst um Geschwindigkeit – gestaffelte Transfers, schnelle Umwandlung in gängige Assets; ganz klar wurde beim Geldwäsche-Workflow ein Wettrennen gegen die Zeit gespielt. Zweitens konnten die verbleibenden Vermögenswerte offenbar gesichert werden; das liegt mehr an Reaktionsgeschwindigkeit und Glück als an einer durch das Protokoll konstruierten Sicherheitsmarge. Hätten die Validierungsknoten ein paar Minuten später reagiert, wäre die Lücke von 9,19 Millionen US-Dollar möglicherweise eine komplette Flucht im Umfang von 1,2 Milliarden US-Dollar gewesen. Aktuell sind bei Tectonic sowohl das Angebot als auch die Kreditfunktionen pausiert; Auszahlungen und Rückzahlungen laufen normal. Beteiligte verfolgen die Gelder und beantragen die Sperrung von Stablecoins.
Cronos hat es diesmal geschafft, den Großteil der Assets mit „Netzwerk pausieren + Kettenzustand zurückrollen“ zu sichern. Der Vorgang zeigt aber auch, dass diese Kette im entscheidenden Moment durch die Gesamtheit der Validierungsknoten gestoppt und die Historie umgeschrieben werden kann.
Wie siehst du diese „Chain-Level-Rollback“-Rettungsmaßnahme: verantwortungsvolle Notfallreaktion oder ein Grund, die „Unveränderlichkeit“ von On-Chain-Assets erneut anzuzweifeln?
#Tectonic #Cronos #TONIC #DeFi安全 #预言机攻击
Das kreditgebende Protokoll Tectonic auf der Cronos-Blockchain wurde Opfer eines Angriffs durch Orakel-Manipulation. Der Angreifer startete um 12:49:39 UTC eine Transaktion, in der er 98-mal hintereinander Kredite aufnahm und TONIC-Token erneut als Sicherheit einsetzte. Dadurch wurde die Beleihungswertermittlung für diesen Token um fast das 200-fache nach oben getrieben. Mit diesem überhöhten Wert lieh er sich dann aus neun Kreditmärkten Vermögenswerte im nominalen Gegenwert von 120,4 Millionen US-Dollar aus – darunter USDC, USDT, WBTC und WETH.
Orakel-Manipulation ist in DeFi kein neues Vorgehen – wirklich diskutierenswert ist die Zeitleiste rund um die Flucht des Diebesguts. Zuerst überbrückte der Angreifer rund 6,3 Millionen US-Dollar in USDC auf Ethereum und tauschte es gegen ETH. Der Rest der Vermögenswerte wurde auf Cronos in CRO umgewandelt. In 28 Tranchen wurden die Bestände über dieselbe Brücke nach außen transferiert; die letzte Tranche wurde schließlich um 14:31:24 (UTC) vollständig abgewickelt. Die Cronos-Validierungs-Knoten setzten um 14:32:47 das Netzwerk aus und rollten den Kettenzustand zurück – zwischen beiden Ereignissen lagen lediglich 83 Sekunden.
Diese 83 Sekunden zeigen zwei Dinge: Erstens ging es dem Angreifer bei der Nachverfolgung der Gelder offenbar bewusst um Geschwindigkeit – gestaffelte Transfers, schnelle Umwandlung in gängige Assets; ganz klar wurde beim Geldwäsche-Workflow ein Wettrennen gegen die Zeit gespielt. Zweitens konnten die verbleibenden Vermögenswerte offenbar gesichert werden; das liegt mehr an Reaktionsgeschwindigkeit und Glück als an einer durch das Protokoll konstruierten Sicherheitsmarge. Hätten die Validierungsknoten ein paar Minuten später reagiert, wäre die Lücke von 9,19 Millionen US-Dollar möglicherweise eine komplette Flucht im Umfang von 1,2 Milliarden US-Dollar gewesen. Aktuell sind bei Tectonic sowohl das Angebot als auch die Kreditfunktionen pausiert; Auszahlungen und Rückzahlungen laufen normal. Beteiligte verfolgen die Gelder und beantragen die Sperrung von Stablecoins.
Cronos hat es diesmal geschafft, den Großteil der Assets mit „Netzwerk pausieren + Kettenzustand zurückrollen“ zu sichern. Der Vorgang zeigt aber auch, dass diese Kette im entscheidenden Moment durch die Gesamtheit der Validierungsknoten gestoppt und die Historie umgeschrieben werden kann.
Wie siehst du diese „Chain-Level-Rollback“-Rettungsmaßnahme: verantwortungsvolle Notfallreaktion oder ein Grund, die „Unveränderlichkeit“ von On-Chain-Assets erneut anzuzweifeln?
#Tectonic #Cronos #TONIC #DeFi安全 #预言机攻击