Crypto.comin tukema Cronos-lohkoketju pysäytettiin ja kelattiin taaksepäin 75 miljoonan dollarin kryptoryöstön jälkeen
- Hyökkääjä nosti TONIC-tokenin hinnan noin satakertaiseksi parissakymmenessä minuutissa ja lainasi sillä vakuudella oikeita varoja Tectonicista.
- Tappioarviot vaihtelevat 66 ja 75 miljoonan dollarin välillä, ja vain noin kuusi miljoonaa dollaria ehti Ethereum-verkkoon ennen pysäytystä.
- Cronos-validaattorit kelasivat ketjun noin 11 000 lohkoa taaksepäin ja jatkoivat lohkosta 90 896 189.
- Kris Marszalek sanoo Crypto.comin sovelluksen ja pörssin säilyneen turvassa, mutta korvaussuunnitelmaa ei ole julkaistu.
Cronosin validaattorit kelasivat noin 11 000 lohkoa taaksepäin, koska ketjun 33-jäseniseen validaattorijoukkoon pääsee vain kutsusta.
Kolmekymmentäkolme validaattoria riitti kelaamaan Cronos-lohkoketjun historiaa noin 11 000 lohkoa taaksepäin ja pysäyttämään lohkojen tuotannon sunnuntaina, jotta suurin osa Tectonic-lainausprotokollasta varastetusta omaisuudesta jäisi ketjuun.
Ratkaisu oli mahdollinen vain siksi, että Crypto.comin tukeman Cronosin 33 validaattoria toimivat suljetussa piirissä eivätkä hajautetussa verkossa, jollaisena ketju itseään markkinoi.
Hyökkäys hyödynsi ohutta markkinaa
Hyökkääjä kohdisti iskun Tectonicin hallintotokeniin TONICiin, jonka protokolla hyväksyi vakuudeksi 20 prosentin vakuuskertoimella.
Hintaoraakkelin manipulointi
Lainausprotokolla tarvitsee ulkopuolisen hintalähteen eli oraakkelin arvioidakseen vakuuden arvon. Jos vakuudeksi kelpaavalla tokenilla käydään vain vähän kauppaa, sen hintaa voi nostaa keinotekoisesti pienelläkin ostoerällä, jolloin protokolla hyväksyy ylihinnoitellun vakuuden ja päästää lainaamaan sitä vastaan oikeita, likvidejä varoja.
Weilin Li, riippumaton lohkoketjututkija, kuvaili iskua hintamanipulaatioksi, joka muistuttaa Mango Marketsiin vuonna 2022 kohdistunutta hyökkäystä. Hänen arvionsa mukaan TONICin hinta nousi noin satakertaiseksi parissakymmenessä minuutissa, minkä jälkeen hyökkääjä talletti ylihinnoitellut tokenit vakuudeksi ja lainasi niitä vastaan oikeita, likvidejä varoja Tectonicin lainapooleista.
Tectonicin oma oraakkelidokumentaatio listaa vain kaksi lähdettä TONICin dollarihinnalle: VVS Financen ja Crypto.comin itsensä. Pörssi oli siis itse mukana hinnoittelemassa vakuutta, joka kelpasi sen omalle markkinoimalleen tuotteelle.
Arviot lopullisesta tappiosta vaihtelevat. Li on puhunut noin 66 miljoonasta dollarista, tietoturvayhtiö PeckShield noin 74 miljoonasta, ja useimmat uutistoimistot ovat pyöristäneet luvun 75 miljoonaan dollariin.
Vain noin kuusi miljoonaa dollaria ehti siirtyä Ethereum-verkkoon ennen kuin validaattorit pysäyttivät ketjun, ja loput kymmenet miljoonat jäivät jumiin Cronos-ketjuun kelauksen ansiosta.
Cronos Network vahvisti ketjun palautuneen normaaliksi X:ssä.
Cronos on palannut normaaliin toimintaan. Lohkojen tuotanto jatkui lohkosta 90 896 189 kello 23.49 UTC sen jälkeen, kun ketju oli kelattu taaksepäin Tectonic-hyökkäyksen vuoksi.
– Cronos Network (@CronosNetwork) August 30, 2026
Sama valta-asema kuin viime vuonna
Tectonic oli Cronosin suurin lainausprotokolla, ja sen lukittu pääoma oli noin 122 miljoonaa dollaria elokuun 26. päivänä. Se oli lähes puolet Cronosin koko hajautetun rahoituksen (DeFi) pääomasta.
Maanantaihin mennessä summa oli painunut noin kolmeen miljoonaan dollariin DefiLlaman mukaan. CRO-token laski vuorokaudessa noin kuusi prosenttia, ja koko Cronosin DeFihin lukittu pääoma on pudonnut 92 prosenttia vuodesta 2022.
Verkon oma UKK-sivu toteaa, että Cronosin validaattoriksi pääsee vain kutsusta, eikä uusia hakemuksia oteta vastaan.
Kyse ei ole ensimmäisestä kerrasta, kun Crypto.comin valta-asema on jyrännyt Cronosin väitetyn puolueettomuuden. Maaliskuussa 2025 yhtiö ajoi läpi validaattoriäänestyksen, jolla 70 miljardia vuonna 2021 ”pysyvästi” poltettua CRO-tokenia laskettiin uudelleen liikkeeseen lähes kaikkien muiden suurten haltijoiden vastustuksesta huolimatta.
Crypto.com oli mainostanut TONICia näkyvästi ennen hyökkäystä. Staking-tuotoksi luvattiin jopa 100 prosenttia vuodessa, tokeneilla saattoi maksaa Crypto.comin Visa-kortin kautta yli 80 miljoonassa kauppapaikassa, ja Crypto.com DeFi Walletissa staking onnistui yhdellä klikkauksella ilman lukitusaikaa. TONIC oli listattu myös pörssin omaan kaupankäyntiin.
Kris Marszalek, Crypto.comin toimitusjohtaja, sanoo, ettei yhtiön sovellus tai pörssi ole vaarantunut ja että sen tietoturvatiimi avustaa tutkinnassa. Korvaussuunnitelmaa tai jälkiselvitystä ei ollut julkaistu tiistaina.
