Cronos potwierdził, że 9,19 miliona dolarów pozostaje nieodzyskane po tym, jak atakujący pożyczył 120,4 miliona dolarów z Tectonic, podczas gdy rollback wspierany przez walidatorów odwrócił około 111,2 miliona dolarów dotkniętej wartości.
Podsumowanie
- Cronos twierdzi, że 9,19 miliona dolarów pozostaje nieodzyskane po tym, jak atakujący pożyczył 120,4 miliona dolarów z Tectonic, używając zmanipulowanego zabezpieczenia TONIC.
- Walidatorzy cofnęli 10 961 bloków obejmujących prawie dwie godziny transakcji, przywracając około 111,2 miliona dolarów dotkniętej wartości.
- Atakujący przeniósł 7,6% dotkniętych środków poza Cronos przed zatrzymaniem sieci, co uniemożliwiło ich odzyskanie w ramach rollbacku.
- Cronos wznowił produkcję bloków około 11 godzin po ataku i kontynuuje prace nad uzgodnieniami z giełdami, mostami i innymi platformami.
Według analizy pośmiertnej opublikowanej przez Cronos w poniedziałek, atakujący zmanipulował cenę TONIC, tokena zarządzającego protokołu pożyczkowego Tectonic, i użył zawyżonego aktywa jako zabezpieczenia do pożyczenia środków na dziewięciu rynkach 30 sierpnia.
Atak skłonił walidatorów Cronos do zatrzymania blockchaina warstwy 1 na bloku 90 907 150, zanim zgodzili się przywrócić sieć do bloku 90 896 188, ostatniego bloku wyprodukowanego przed rozpoczęciem exploita.
Rollback przywrócił dotknięte salda do stanu sprzed ataku i odwrócił około 111,2 miliona dolarów z 120,4 miliona dolarów zaangażowanych w incydent. Jednak środki, które już opuściły Cronos, były poza zasięgiem przywracania.
„9,19 miliona dolarów, które opuściły Cronos przed zatrzymaniem, nie zostało odzyskane i jest poza zasięgiem przywracania” – powiedział zespół.
Rollback Cronos przywrócił 111,2 miliona dolarów po exploicie Tectonic
Rollback odrzucił 10 961 bloków, co stanowi 1 godzinę i 54 minuty historii transakcji Cronos, według analizy pośmiertnej. Transakcje zrealizowane w tym oknie zostały odwrócone niezależnie od tego, czy miały jakikolwiek związek z atakiem na Tectonic.
Cronos poinformował, że walidatorzy musieli rozważyć finalność transakcji w stosunku do kwoty pieniędzy wciąż narażonej przy podejmowaniu decyzji o ponownym uruchomieniu sieci.
„To była trudna decyzja, podjęta wspólnie z walidatorami, ważąca finalność, jakiej użytkownicy oczekują od łańcucha, przeciwko środkom zagrożonym” – powiedział Cronos. „Alternatywa, ponowne uruchomienie bez przywracania stanu, pozostawiłaby pożyczone aktywa pod kontrolą atakującego”.
Ostateczne rozliczenie znacznie zwiększa wartość zaangażowaną w porównaniu z wczesnymi szacunkami opublikowanymi bezpośrednio po incydencie. 31 sierpnia crypto.news poinformował o zatrzymaniu Cronos po tym, jak badacz onchain Weilin Li początkowo oszacował, że dotkniętych zostało około 75 milionów dolarów.
Wczesna analiza Li wykazała, że większość zidentyfikowanych środków pozostała na Cronos, gdy walidatorzy zatrzymali produkcję bloków, podczas gdy około 6 milionów dolarów miało dotrzeć do Ethereum. W tym czasie ani Tectonic, ani Cronos nie opublikowały ostatecznego rozliczenia zaangażowanych aktywów.
Dostawca danych blockchain Bitquery obliczył następnie, że 120,4 miliona dolarów zostało usuniętych z rynków pożyczkowych Tectonic, co jest zgodne z kwotą szczegółowo opisaną w analizie pośmiertnej Cronos.
Manipulacja ceną TONIC umożliwiła pożyczenie 120,4 miliona dolarów
Cronos poinformował, że atak rozpoczął się po wdrożeniu kontraktów mających na celu manipulację ceną rynkową TONIC, rzadko handlowanego tokena, który Tectonic akceptował jako zabezpieczenie.
Gdy cena tokena została podbita, atakujący dostarczył zawyżone zabezpieczenie do protokołu pożyczkowego. Około 10 minut później pożyczono 120,4 miliona dolarów na dziewięciu rynkach Tectonic.
Wczesna analiza onchain wykazała, że zgłoszona cena TONIC wzrosła około 100-krotnie w ciągu około 20 minut. Token miał 20% współczynnik zabezpieczenia na Tectonic, co pozwalało pożyczkobiorcom zaciągać pożyczki przeciwko części wartości przypisanej do ich zdeponowanych TONIC.
Współzałożyciel RedStone, Marcin Kazmierczak, powiedział później crypto.news, że incydent nie był awarią oracle. Powiedział, że oracle dokładnie raportował cenę TONIC na monitorowanym rynku, podczas gdy Tectonic zaakceptował tę cenę bez odpowiedniego uwzględnienia, czy istnieje wystarczająca płynność, aby sprzedać zabezpieczenie po zgłoszonej wycenie.
Kazmierczak wskazał limity pożyczek powiązane z wykonywalną płynnością jako jedno zabezpieczenie, które mogło ograniczyć kwotę dostępną do pożyczenia, nawet jeśli zgłoszona cena rynkowa TONIC gwałtownie wzrosła. Dynamiczne czynniki zabezpieczeń, wymagania minimalnej głębokości rynku i limity wpływu na cenę mogły zapewnić inne kontrole, powiedział.
Tectonic miał około 121,7 miliona dolarów w całkowitej zablokowanej wartości i około 82,7 miliona dolarów w aktywnych pożyczkach przed exploit, według danych przytoczonych podczas wstępnego dochodzenia.
Walidatorzy zatrzymali Cronos w ciągu godziny od ataku
Analiza pośmiertna przedstawiła bardziej szczegółowy harmonogram reakcji sieci.
Po tym, jak atakujący zaczął manipulować TONIC i pożyczać przeciwko zawyżonemu zabezpieczeniu, Cronos zidentyfikował złośliwą aktywność około 36 minut później. Walidatorzy następnie zatrzymali blockchain, zapobiegając dalszym transakcjom podczas dochodzenia w sprawie incydentu.
Sieć została ostatecznie przywrócona do stanu sprzed exploita, zanim wznowiono produkcję bloków około 11 godzin po rozpoczęciu ataku.
Kiedy Cronos wznowił produkcję bloków 30 sierpnia, łańcuch wznowił działanie od bloku 90 896 189 po tym, jak walidatorzy skoordynowali awaryjne przywrócenie. Operatorzy węzłów zostali poinstruowani, aby uruchomić ponownie przy użyciu Cronos v1.7.8 i zaktualizowanych snapshotów mainnetu.
Dyrektor generalny Crypto.com, Kris Marszalek, powiedział podczas incydentu, że scentralizowana aplikacja i giełda firmy działały dalej i nie zostały naruszone. Crypto.com i Cronos są ściśle powiązane, podczas gdy Tectonic działa jako zdecentralizowany protokół pożyczkowy na blockchainie.
Wycofanie oznaczało, że dostawcy infrastruktury podłączeni do Cronos musieli uzgodnić swoje systemy z przywróconym stanem łańcucha. Dostawcy RPC, eksploratory, indeksatory, subgrafy i mosty musiały zsynchronizować się z wersją blockchaina, która zastąpiła odrzucone bloki.
Kolejna analiza crypto.news zbadała, jak walidatorzy wycofali łańcuch i wymazali ponad 10 000 bloków, aby przywrócić jego stan. Działanie to usunęło transakcje należące do zwykłych użytkowników w tym samym okresie, obok tych związanych z atakującym.
9,19 miliona dolarów pozostaje poza przywróceniem Cronos
Analiza pośmiertna Cronos szacuje teraz kwotę, która uniknęła przywrócenia, na około 9,19 miliona dolarów, co stanowi 7,6% z 120,4 miliona dolarów dotkniętych.
Środki, które pozostały w sieci, mogły zostać skutecznie przywrócone do wcześniejszego stanu poprzez wycofanie. Aktywa już przeniesione z Cronos nie mogły zostać cofnięte poprzez zmiany w historii transakcji samego łańcucha.
Incydent Tectonic stanowił ponad połowę szacowanych strat kryptowalutowych odnotowanych w sierpniu. Firma zajmująca się bezpieczeństwem blockchain, PeckShield, naliczyła 50 głównych ataków hakerskich na kryptowaluty w sierpniu, z szacowanymi stratami wynoszącymi łącznie 136,3 miliona dolarów. Jej wcześniejsze obliczenia umieszczały incydent Tectonic na około 74 miliony dolarów, ponieważ ostateczne rozliczenie nie zostało jeszcze opublikowane.
Cronos poinformował, że prace nad uzgodnieniami z giełdami, mostami i innymi dotkniętymi platformami trwają po przywróceniu. Użytkownicy nie muszą podejmować żadnych działań na tym etapie, podczas gdy eksplorator bloków, publiczne punkty końcowe RPC, indeksatory i subgrafy wróciły do działania.
Analiza pośmiertna nie zidentyfikowała atakującego ani nie szczegółowo opisała, jak sieć i Tectonic planują rozwiązać kwestię 9,19 miliona dolarów, które pozostają nieodzyskane.
CRO, natywny token ekosystemu Cronos, był notowany w okolicach 0,058 dolara, rosnąc o 0,62% w ciągu ostatnich 24 godzin.
