Cronos 在周日发现其最大的借贷协议 Tectonic 存在漏洞后，暂停了区块生产。
独立研究员 Weilin Li 估计总受影响金额接近 7500 万美元，尽管 Cronos 和 Tectonic 尚未确认具体数字。
攻击是如何运作的
追踪链上漏洞的独立研究员 Weilin Li 表示，攻击者操纵了 Tectonic 的治理代币 TONIC 的价格，在约 20 分钟内将其推高约 100 倍。Tectonic 对 TONIC 应用了 20% 的抵押率，因此被夸大的价格让攻击者能够以该代币作为抵押借入其他更硬性的资产，而该代币的实际价值从未达到市场短暂显示的水平。
Li 最初估计攻击者获取了约 6600 万美元，随后发现第二个由攻击者控制的地址持有约 800 万美元，将其总估计值提高至约 7500 万美元。在暂停前，约有 600 万美元转移至以太坊；Li 的追踪显示，其余大部分资金仍留在 Cronos 上。
其机制与其他加密货币安全事件相似，包括 2022 年的 Mango Markets 漏洞利用和 SAND 代币黑客攻击，在这些事件中，攻击者利用了代币定价、流动性或协议安全方面的弱点。
为什么 Cronos 能够暂停区块链
Cronos 运行在 Tendermint 共识之上，活跃验证者集合上限为 100 个，这种结构使得协调紧急暂停在操作上变得切实可行，而在大多数更大、更去中心化的链上则难以实现。这使得 Cronos 能够在资金离开网络之前拦截大部分与漏洞相关的资金，类似于 BNB Chain 验证者在 2022 年 10 月发生 5.7 亿美元桥接漏洞利用后数小时内暂停该链，并回收了近 4.7 亿美元。
同一杠杆具有两面性。停止区块生产也冻结了 Cronos 上的所有其他开放头寸、待处理交易和智能合约调用，而不仅仅是攻击者的，冻结持续时间与暂停时间相同。
谁受到波及，以及哪些情况尚未确认
根据 DefiLlama 的数据，在漏洞被利用前，Tectonic 的总锁定价值约为 1.217 亿美元，活跃贷款约为 8270 万美元。截至周一，Cronos 和 Tectonic 均未发布官方原因、最终损失金额、重启时间表或赔偿框架。Tectonic 自身的文档此前曾警告，低流动性资产尤其容易受到此类价格操纵的影响，这一风险也曾在 Fogo 加密货币黑客攻击等事件中出现，但协议自身的抵押品规则似乎并未将这一风险纳入对 TONIC 的定价考量。