На блокчейне Cronos произошёл крупный взлом платформы заимствований Tectonic стоимостью около $75 млн. Атакующий использовал классическую схему: взял малоликвидный токен TONIC, который торгуется на самой Tectonic с минимальным объёмом, резко поднял его цену в 100 раз через серию больших покупок, а затем использовал раздутый токен как залог для займов реальных активов (вероятно, стейблкоинов или других ценных активов платформы). Когда средства были выведены, цена токена рухнула, и платформе не хватило ликвидности, чтобы покрыть убытки.
Это классический flash loan-подобный взлом, но с растянутым по времени сценарием. Уязвимость лежит в самом дизайне платформы: система оценки залогов опиралась на цену токена без учёта его реальной ликвидности и торгового объёма. Многие платформы DeFi борются с этой проблемой через оракулы цен и механизмы защиты от манипуляций, но очевидно, Tectonic либо не имела таких защит, либо они работали неправильно.
В ответ валидаторы Cronos заморозили сеть — остановили блокчейн, чтобы предотвратить дальнейшие убытки. Это экстренная мера, которая бывает спорной: с одной стороны, она предотвращает катастрофу для пользователей платформы, с другой — прямо нарушает основной принцип блокчейна (неостановимость) и демонстрирует, что сеть при необходимости может быть остановлена централизованно. Такое уже было в истории крипто (например, при взломе The DAO в 2016 году на Ethereum), но каждый раз это вызывает дебаты о том, где граница между защитой экосистемы и сохранением её базовых свойств.
Cronos — это EVM-совместимый блокчейн, созданный компанией Crypto.com как быстрая и дешёвая альтернатива Ethereum с поддержкой их экосистемы. Проект претендовал на то, чтобы быть привлекательным для DeFi-приложений благодаря низким комиссиям и высокой скорости. Но эта история показывает, что одни только скорость и дёшевые комиссии не гарантируют безопасность экосистемы — нужны ещё и хорошие практики разработки и аудита на уровне каждого приложения.
Для российского бизнеса, который рассматривает работу с блокчейнами и DeFi-платформами, это остаётся предупреждением: перед интеграцией с любой платформой заимствований или торговли нужна серьёзная техническая экспертиза. Даже если платформа кажется надёжной и поддерживается известной компанией, стоит проверить архитектуру оценки залогов, источники данных по ценам и наличие механизмов защиты от манипуляций. На российском рынке появляются компании, которые предлагают интеграции с DeFi для фондов и трейдеров — им нужно быть особенно внимательными с выбором платформ.
Хотя Cronos и заморозила сеть для контроля урона, остаток ущерба будут распределять между пострадавшими пользователями. Это может быть долгий процесс, и не факт, что все получат полное возмещение. Для экосистемы это серьёзный удар по репутации: если валидаторы могут останавливать сеть по своему решению, то инвесторы и разработчики начнут сомневаться в надёжности Cronos как платформы для серьёзных финансовых приложений.