Cronos (CRO), 75 Milyon Dolarlık Tectonic Saldırısının Ardından Zinciri Durdurup Geri Sardı

75 Milyon Dolarlık TONIC Saldırısı Cronos'u Durdurdu

Crypto.com'un 2021'de hayata geçirdiği blokzincir ağı Cronos (CRO), Pazar günü blok üretimini durdurdu. Tetikleyici, ağın en büyük borç verme dapp'i Tectonic'e düzenlenen ve zincir üstü araştırmacıların kabaca 75 milyon dolar olarak tahmin ettiği bir soygundu. Saldırının mekaniği, sektörün artık yakından tanıdığı bir senaryoyu izliyor: Tectonic, kendi likiditesiz yönetişim token'ı TONIC'i yüzde 20 teminat faktörüyle kabul ediyordu; yani protokolün tanıdığı her 100 dolarlık değer, yaklaşık 20 dolarlık borçlanmayı garanti edebiliyordu. Zincir üstü araştırmacısı Weilin Li'ye göre saldırgan, TONIC'in fiyatını yaklaşık 20 dakika içinde yaklaşık 100 kat yukarı itti, yapay olarak şişirilmiş token'ları teminat olarak yatırdı ve bu sahte değer üzerinden gerçek varlıklar çekti — fiyat beslemesini (oracle) manipüle ederek kurgulanmış bir fiyatla gerçek teminatı çeken, Mango Markets tarzı klasik bir manevra. Çalınan varlıkların yalnızca yaklaşık 6 milyon dolarlık bölümü, doğrulayıcılar blok üretimini durdurup tüm ağı dondurmadan önce Ethereum üzerinde bir cüzdan adresi'ne ulaşabildi. Güvenlik firması PeckShield, ele geçirilen fonları ilk değerlendirmede yaklaşık 74 milyon dolar olarak tahmin etti; Tectonic'in resmi X hesabı ise ekibin soruşturmayı yürüttüğü sırada kullanıcıları protokol üzerindeki tüm faaliyeti duraklatmaya çağırdı. Ardından doğrulayıcılar zinciri saldırı öncesi durumuna geri sardı ve blok üretimini yeniden başlattı — soygunun tam ortasında kesmek için defterin tarihçesinin bir bölümünü silerek. Dondurma, doğrulayıcı set geri alımı koordine ederken kullanıcı mevduatlarını Cronos'un borç verme piyasalarında saatlerce kilitli bıraktı. Ne Cronos ne de Tectonic şu ana kadar nihai zarar tutarını doğruladı ya da ayrıntılı bir kaza raporu yayımladı. Piyasa tepkisi gecikmedi: CRO son 24 saatte değerinin yüzde 6'sını kaybetti ve sermaye, ağın DeFi 2.0 piyasalarından kaçtı. Tectonic tek başına 26 Ağustos itibarıyla yaklaşık 121,7 milyon dolarlık toplam kilitli değere (TVL) sahipken — bu, Cronos genelindeki tüm mevduatların yarısına yakınıydı — Pazartesi gününe gelindiğinde bu rakam kabaca 3 milyon dolara düştü. Tectonic'in bu hakimiyeti köklerinde yatıyordu: protokolün litepaper'ı, bugün Cronos Labs adını alan Particle B'yi kuluçka merkezi olarak gösteriyordu.

Crypto.com'un Derin Tectonic Bağları

Saldırı, yıllarca perakende kullanıcı tabanını Tectonic'e yönlendiren Crypto.com için özellikle çarpıcı bir durum yarattı. Borsanın kendi ürün sayfaları TONIC'i işlem için listeledi ve alımını teşvik etti; 20'den fazla fiat para biriminde. Şirket ayrıca TONIC cinsinden Visa harcamasını 80 milyon ticari noktada tanıttı. Crypto.com'un DeFi Wallet ürünü, TONIC staking'ini tek tıkla erişim, kilitleme süresi (lock-up) olmaksızın ve yıllık yüzde 100'e varan getirilerle pazarladı; Earn programı ise kazançların otomatik bileşik çalıştığını anlatan adım adım rehberler yayımladı. Bu tanıtımlar, Crypto.com'u protokole girişte en büyük perakende kapılarından biri hâline getirdi. Manipülasyonu mümkün kılan ise baştan beri fiyat besleme düzeniydi: Tectonic'in geliştirici dokümantasyonu, TONIC'in dolar fiyatı için yalnızca iki veri kaynağı listeliyor — VVS Finance ve Crypto.com'un kendisi. Yani işlem hacmi kuruduğunda ortada bağımsız hiçbir referans kalmıyordu. Crypto.com'un bağları pazarlamanın çok ötesinde: 500 milyon dolarlık yatırım kolu, Tectonic'in arkasındaki kuluçka merkezi Cronos Labs'ın stratejik ortağı. CEO Kris Marszalek, şirketin uygulamasının ve borsasının etkilenmediğini, güvenlik ekibinin soruşturmaya destek verdiğini söyledi; ancak yaşanan, Cronos zincir yönetişimi ve ağın konsensus mekanizması çevresindeki güven sorunlarını daha da derinleştirdi. Cronos kendini izinsiz katılımlı (permissionless) olarak tanımlıyor; resmi dokümantasyonuna göre ise 33 doğrulayıcı yalnızca davetle görev yapıyor ve başvurular kapalı. Aynı çoğunluk kontrolü, Mart 2025'te ağın 2021'de kalıcı olarak yakmış olduğu 70 milyar CRO token'ını, diğer büyük holder'ların neredeyse tamamının itirazına rağmen yeniden basmak için de kullanıldı. Şubat 2022 öncesinde CRO, Crypto.com Coin adıyla işlem görüyordu; zincir üstü analitiklere göre Cronos protokollerindeki toplam kilitli değer ise 2022'den bu yana yüzde 92 geriledi.

Zarar Tutarı Zincir Üstü Doğrulamayı Bekliyor

Bizim okumamızda olay, kırılgan fiyat beslemesinin yoğunlaşmış güçle kesiştiği noktada patlak verdi. Aynı hafta, Base üzerindeki Moonwell, benzer bir manipülasyonla likiditesiz MAMO teminatı üzerinden tahminen 8,7 milyon dolar kaybetti; Pendle'in ince bir piyasasında yüzde 3'lük bir hareket ise Morpho üzerinde kabaca 36 milyon dolarlık likidasyon tetikledi — ince token teminatı, sektörün tekrarlayan saldırı yüzeyine dönüşüyor. Cronos'u ayıran şey ise tedavi yöntemi: yalnızca davetle belirlenmiş bir doğrulayıcı setin uygulayabileceği tam bir ledger geri sarma; ayrıntılarını Cronos ağ durdurma raporumuzda işledik. Ne ekip ne de diğer taraf zararı doğrulamış ya da kök neden analizi yayımlamış değil; bu yüzden 74 milyon dolarlık tahmin, zincir üstü kanıtlar ve resmi olay raporu gelene kadar geçerli sayılmalı. Halihazırda Trump Media'nın 190 milyon dolarlık kripto zararıyla baskı altındaki bir altcoin olan CRO için şu anda bağlayıcı kısıt, artık güven.