Cronos (CRO), 75 Milyon Dolarlık Tectonic Saldırısının Ardından Ağı Durdurdu

Cronos Blok Üretimini Durdurdu

Crypto.com borsa grubunun geliştirdiği katman-1 blok zinciri Cronos (CRO), 30 Ağustos'ta blok üretimini durdurdu. Gerekçe net: zincir üzerindeki en büyük merkeziyetsiz borçlanma protokolü Tectonic'te bir istismar (exploit) tespit edildi. Ekip, X üzerinden yaptığı açıklamada "Tectonic'te bir istismar" olduğunu doğruladı ve durum değerlendirilirken ağın durdurulduğunu duyurdu; araştırma sürdükçe doğrulanmış güncellemeler vereceklerini taahhüt etti. Kullanıcıların dijital varlıkları yatırıp değişken faiz kazandığı ve teminat karşılığı başka varlıklar ödünç aldığı bir para piyasası merkeziyetsiz uygulaması (dApp) olan Tectonic, olayı bir saat içinde kabul etti ve kullanıcılara ekip güvenli olduğunu onaylayana dek protokolle etkileşmemeleri yönünde kendi uyarısını yayımladı. Tectonic bir Crypto.com ürünü değil, bağımsız bir protokol; ancak zincirin çekirdek kredi pazarı olduğu için buradaki her ihlal, Cronos kullanıcıları açısından sistematik bir tehdit. Bir üretim ağı için ağ duraklatma, eldeki en sert kolu çekmek anlamına geliyor: blok üretimi durunca transferler, yatırma ve çekme işlemleri, üstelik her akıllı sözleşme çağrısı da, doğrulayıcılar zinciri yeniden başlatana kadar donuyor. Bu, kullanıcıları fonlarından yoksun bırakıyor ama aynı zamanda saldırganın çıkış yolunu da kesiyor. Protokol üzerindeki her açık pozisyon — faiz işleyen mevduatlar ve teminatla güvence altına alınmış krediler — zincir yeniden çalışana kadar fiilen duraklama öncesi durumunda donmuş durumda. Zincir üstü toplu veriler, olay öncesi Cronos ağındaki en büyük borçlanma merkezi olan Tectonic'in yaklaşık 121,7 milyon dolar toplam kilitli değer (TVL) ve 82,7 milyon dolar civarında açık kredi taşıdığını gösteriyordu; yani dokuz haneli bir kullanıcı fonu havuzu şu an kaderi belirlenene dek hareketsiz. Bunun ne kadarının hayatta kalacağı, doğrulayıcılar blok imzalamayı bırakmadan saldırganın ne kadarını hareket ettirmeyi başardığına bağlı.

364,6 Trilyon TONIC ve 20 Dakikalık Pump

Zincir üstü araştırmacılar saldırının nasıl işlediğini adım adım ortaya çıkardı ve mekanizma bir kod hatasından çok kasıtlı fiyat manipülasyonuna işaret ediyor. Saldırgan, Tectonic'in işlem hacmi zayıf yönetişim token'ı TONIC'i hedef aldı ve yaklaşık 20 dakikalık seyrek işlemde fiyatını kabaca 100 kat yukarı çekti. Tectonic, TONIC'e yüzde 20 teminat oranı uyguluyor — yani bir varlığın beyan edilen değerinin bu kadarı ödünç çekilebiliyor — ve saldırganın 364,6 trilyon TONIC civarındaki pozisyonu bu sayede yaklaşık 375 milyon dolar uygun teminat sayıldı; gerçekte bunun küçük bir kesri değerinde fonlar karşılığında 75 milyon dolar civarında varlık ödünç almak için yeterliydi. Bu sınıftaki saldırılar, varlığın rapor edilen fiyatı ile gerçek likiditesi arasındaki açığı kullanıyor: protokol teminatı pump edilmiş piyasa fiyatından değerliyor, oysa piyasaya o seviyede bir satış emilemezdi. Akışları halka açık şekilde izleyen zincir üstü araştırmacı Weilin Li, zararı başlangıçta 66 milyon dolar civarında tahmin etti; sonra saldırgan kontrolündeki, yaklaşık 8 milyon dolar tutan ikinci bir cüzdan adresi (wallet address) tespit ederek tahminini 75 milyon dolara yükseltti — Tectonic de Cronos da bu rakamı henüz doğrulamadı. Li, doğrudan 2022 Mango Markets saldırısına bağlantı kurdu; orada da saldırgan, seyrek işlem gören bir token'ın manipüle edilmiş fiyatıyla devasa ödünç alınabilir teminat üretmişti ve benzerlik göz ardı edilemez. Şimdilik önleme değil, sınırlama daha iyi çalışmış görünüyor: zincir durmadan önce çalınan fonların yalnızca yaklaşık 6 milyon doları Ethereum'a köprüyle taşındı, yani varlıkların ezici çoğunluğu Cronos üzerinde hâlâ hapsolmuş durumda. Crypto.com genel müdürü Kris Marszalek, hasarı kamuoyuna ele alarak şirketin uygulamasının ve borsasının etkilenmediğini, Crypto.com güvenlik ekibinin soruşturmaya destek verdiğini açıkladı. Tectonic henüz doğrulanmış bir zarar rakamı ya da kök neden raporu yayımlamadı; bu da araştırmacının tahminini hasarın en iyi kamuya açık muhasebesi olarak bırakıyor.

Duraklatma Zaman Kazandırıyor, Çözüm Değil

Hasara dair yeni veriler, Tectonic'in bilançosuna verilen zararın saldırganın kasasından çok daha büyük olduğunu gösteriyor: DefiLlama rakamlarına göre protokolün toplam kilitli değeri, 26 Ağustos'taki yaklaşık 121,7 milyon dolardan pazartesi günü itibarıyla yaklaşık 3 milyon dolara düştü; kullanıcı pozisyonları çözüldükçe fonlar gözden kayboldu. Pazartesi sabahı itibarıyla ne Cronos ne de Tectonic nedeni doğrulamış, nihai bir zarar rakamı yayımlamış ya da etkilenen mevduat sahipleri için yeniden başlatma takvimi, kurtarma planı veya tazminat çerçevesi açıklamış değildi. Yeniden başlatmayı daha da karmaşıklaştıran husus, doğrulayıcıların saldırganın Tectonic'in kredi pazarlarında kötü borç bırakıp bırakmadığını ve tespit edilen adreslerin bloklar akıtılırken fonları güvenle hareket ettirip ettiremeyeceğini de belirlemesi gerektiği — varlıkların zincir üzerinde kalması, kurtarılmış olmak anlamına gelmiyor. Bu örüntü, yalnızca birkaç gün önceki Base ağındaki Moonwell saldırısını da anımsatıyor: benzer seyrek-token teminat manipülasyonuyla tahmini 8,7 milyon dolar boşaltıldı, ama o zincir blok üretmeye devam ettiği için fonlar kaçmayı başardı. Piyasayı gerçek zamanlı izleyen okurlar canlı spot ve vadeli fiyatları Gate üzerinden takip edebilir.

(06:06 UTC itibarıyla) COINOTAG'in okuması şu: bu, ders kitabı niteliğinde bir seyrek-likidite manipülasyonu ve acil durum durdurması — doğrudan zincirin konsensüs mekanizmasına müdahale eden bir hamle — çözüm değil, zaman kazandırdı. Zincir üstü kanıtlar kök nedeni çoktan işaret ediyor: likiditesi olmayan bir yönetişim token'ına uygulanan yüzde 20 teminat oranı, 20 dakikalık bir pump'ın 375 milyon dolara yakın hayalet teminat basmasına izin verdi. Onarım artık Tectonic'in olay sonrası raporuna ve kalan fonlar hareket etmeden önce ödünç alınmış pozisyonların çözülüp çözülemeyeceğine bağlı. Olay, güveni sarsılmış bir ekosisteme denk geliyor: Crypto.com daha önce bir vakada kullanıcı fonlarını 8 gün dondurmuştu, Trump Media ise 6,42 milyar dolar değerindeki CRO hazine planından vazgeçmişti — geniş altcoin piyasasında gerçek güvenlik perimetresinin teminat tasarımı olduğu ve DeFi 2.0 dönemine ait borçlanma protokollerinin yal