Cronos (CRO), 75 Milyon Dolarlık Tectonic Saldırısının Ardından Ağı Durdurdu

Cronos Blok Üretimini Durdurdu

Cronos (CRO), Crypto.com borsa grubunun geliştirdiği katman-1 (layer-1) blok zinciri, 30 Ağustos'ta blok üretimini durdurdu. Gerekçe net: zincir üzerinde çalışan en büyük merkeziyetsiz borçlanma protokolü (decentralized lending protocol) olan Tectonic'te bir saldırının tespit edilmesi. Cronos ekibi X üzerinden yayımladığı mesajda "Tectonic'te bir saldırı" tespit edildiğini açıkladı ve durum değerlendirilirken ağın durdurulduğunu duyurarak acil kapatma kararını doğrudan kullanıcılara bildirdi; soruşturma ilerledikçe doğrulanmış güncellemeler vereceğini taahhüt etti. Kullanıcıların dijital varlık yatırıp değişken faiz kazanabildiği ve teminat karşılığı borçlanabildiği bir para piyasası dApp'i olan Tectonic, olayı bir saatten kısa sürede kabul ederek kendi kullanıcı uyarısını yayımladı: ekip güvenli olduğunu doğrulayana dek protokolle etkileşime girmeyin. Tectonic bir Crypto.com ürünü olmaktan ziyade bağımsız bir protokol olarak faaliyet gösteriyor; ancak zincirin ana kredi piyasası olması, oradaki her ihlali Cronos kullanıcıları için sistemik hale getiriyor. Bir üretim ağı için ağ durdurma, eldeki en sert kaldıraç: blok üretimi durduğunda transferler, yatırma-çekme işlemleri ve tüm akıllı kontrat çağrıları, doğrulayıcılar (validator) zinciri yeniden başlatana kadar donuyor. Bu, kullanıcıları fonlarından uzaklaştırıyor ama saldırganın çıkış yolunu da kesiyor. Protokoldeki her açık pozisyon — faiz işleyen mevduatlar ve teminatla güvenceye alınmış krediler — zincir yeniden devreye girene dek fiilen durdurma öncesi halinde kilitli. Zincir üstü toplu veriler, olay öncesi Cronos ağı nın en büyük borçlanma merkezi olan Tectonic'in yaklaşık 121,7 milyon dolarlık toplam kilitli değer (TVL) ve yaklaşık 82,7 milyon dolarlık açık kredi taşıdığını gösteriyor; yani dokuz haneli bir kullanıcı fonu havuzu şu anda kilitli durumda. Bunun ne kadarının hayatta kalacağı, doğrulayıcılar blok imzalamayı durdurmada önce saldırganın ne kadarını hareket ettirebildiğine bağlı.

364,6 Trilyon TONIC, 20 Dakikalık Pump

Zincir üstü araştırmacılar saldırının nasıl işlediğini adım adım ortaya çıkardı ve mekanik, bir kod hatasından çok kasıtlı fiyat manipülasyonuna işaret ediyor. Saldırgan, Tectonic'in ince işlem gören yönetişim token'ı (governance token) TONIC'i hedef aldı ve yaklaşık 20 dakikalık seyrek işlem dilinde fiyatını kabaca 100 kat yukarı çekti. Tectonic, TONIC'e yüzde 20'lik bir teminat çarpanı uyguluyor — yani bir varlığın beyan edilen değerinden borçlanılabilecek pay — ve saldırganın yaklaşık 364,6 trilyon TONIC'luk pozisyonu bu sayede yaklaşık 375 milyon dolar uygun teminat sayıldı; bu da fiilen çok daha küçük değerli fonlar karşılığında yaklaşık 75 milyon dolar başka varlık borçlanmaya yetti. Bu sınıftaki saldırılar, varlığın raporlanan fiyatı ile gerçek likiditesi arasındaki boşluğu sömürür: protokol teminatı pump edilmiş piyasa fiyatından değerlerken, piyasanın kendisi o seviyede bir satış dalgasını asla ememez. Akışları kamuya açık şekilde takip eden zincir üstü araştırmacı Weilin Li, ilk başta kaybı 66 milyon dolar civarında tahmin etti; ardından saldırgan kontrolündeki, yaklaşık 8 milyon dolar tutan ikinci bir cüzdan adresi tespit ederek tahminini yaklaşık 75 milyon dolara yükseltti — ne Tectonic ne de Cronos bu rakamı şimdiye dek doğrulamadı. Li, olayı doğrudan 2022 Mango Markets saldırısına bağladı; orada da saldırgan ince bir token'ın manipüle edilen fiyatından devasa borçlanılabilir teminat üretmişti ve benzerlik göz ardı edilecek cinsten değil. Şimdilik önleme değil, kontrol daha iyi çalışmış görünüyor: çalınan fonların yalnızca yaklaşık 6 milyon doları zincir durmadan önce Ethereum'a köprülenmiş (bridged); geri kalan büyük çoğunluk hâlâ Cronos üzerinde sıkışmış durumda. Crypto.com'un baş yöneticisi Kris Marszalek, şirketin uygulamasının ve borsasının etkilenmediğini, Crypto.com güvenlik ekibinin soruşturmaya destek verdiğini açıkça belirtti. Tectonic henüz doğrulanmış bir kayıp rakamı ya da kök neden raporu yayımlamadı; bu da araştırmacının tahminini hasara dair elimizdeki en iyi kamusal bilanço haline getiriyor.

Durdurma Zaman Kazandırıyor, Çözüm Değil

COINOTAG'in okuması şu: bu, ders kitabına giren bir ince likidite manipülasyonu ve zincirin konsensus mekanizmasına doğrudan müdahale eden acil durdurma, tedavi değil zaman satın aldı. Zincir üstü kanıtlar kök nedeni şimdiden gösteriyor: likiditesi zayıf bir yönetişim token'ına tanınan yüzde 20 teminat çarpanı, 20 dakikalık bir pump ile kabaca 375 milyon dolar hayalet teminat basılmasına izin verdi. Şimdi her şey Tectonic'in olay sonrası raporuna ve kalan fonlar hareket etmeden önce borçlanma pozisyonlarının geri alınabilecek olmasına bağlı. Olay, güveni çoktan yıpranmış bir ekosisteme denk geldi: Crypto.com daha önce bir vaka kullanıcı fonlarını 8 gün boyunca dondurmuştu ve Trump Media, 6,42 milyar dolar değerindeki CRO hazine planından vazgeçmişti — daha geniş altcoin piyasasında asıl güvenlik perimetresinin teminat tasarımı olduğunu, DeFi 2.0 dönemi borçlanma protokollerinin ise ancak en ince piyasaları kadar güvenli olduğunu bir kez daha hatırlatan bir vaka.