Cronos опубликовала post-mortem по инциденту с Tectonic Finance, крупного заимствования-протокола в их сети. Из общего объёма затронутых активов в $120.4 млн взломщик успел вывести $9.2 млн (7.6%) за границы блокчейна до того, как валидаторы Cronos остановили сеть и выполнили откат транзакций.

Это классическая схема: атакующий находит уязвимость в смарт-контракте, быстро забирает средства и пытается их вывести через мосты или крипто-миксеры, пока сообщество не среагирует. В данном случае часть средств всё же ускользнула, остальное удалось зафиксировать на цепи и потенциально восстановить через откат.

Откат блокчейна при взломе — это практика, которая работает только для относительно молодых, менее децентрализованных сетей. Cronos, как L2/боковая цепь к Cosmos, может позволить себе такой маневр, но это подрывает одно из основных предложений крипто: неревертируемость транзакций. Каждый откат — это сигнал инвесторам, что средства в сети не полностью безопасны, если валидаторы решат так поступить.

Для Tectonic это был серьёзный удар по репутации. Протокол позиционировал себя как заимствование-платформу с хорошей безопасностью, но уязвимость говорит о недостатках в аудите кода. Такие события заставляют пользователей искать альтернативы и вызывают волну проверок аналогичного кода в других протоколах.

На русском крипто-рынке такие инциденты менее заметны, поскольку объёмы на боковых цепях Cronos меньше, чем на Ethereum или других топ-сетях. Однако для российских трейдеров и дефи-пользователей это напоминание о том, что маленькие L2-сети с менее развитой экосистемой — выше риск. Если вы работаете с заимствованиями через блокчейн (например, для обеспечения торговли на споте или маржине), стоит отдавать предпочтение проверенным протоколам на ликвидных сетях, а не преследовать APY на экзотических платформах.

Вывод $9.2 млн из сети — не огромная сумма для крипто-рынка, но это вторая часть проблемы: даже откат блокчейна не гарантирует полное восстановление активов, если часть успела уйти. Это также показывает, что скорость вывода средств после взлома обычно измеряется минутами, и без мгновенного мониторинга и остановки валидаторов потери могут быть намного больше.