Criptovaluta.it® Ultime Notizie Bitcoin e Crypto News | Criptovalute Oggi
La rete Cronos non sta più producendo blocchi dalle 16:30 circa di ieri pomeriggio, dopo che un attaccante è riuscito ad estrapolare 74 milioni di dollari in asset crypto dal protocollo di prestito Tectonic. I validatori del network – tramite intervento coordinato – hanno sospeso le attività per impedire che il malintenzionato riuscisse a bridgare i fondi all’esterno, mentre il team di Cronos continua a indagare sull’exploit e a lavorare per mettere in sicurezza le monete rubate.
In totale, l’hacker (che non ha in realtà violato il codice di Cronos ma ha solo sfruttato una vulnerabilità di Tectonic in modo legit) ha trasferito 2.592 $ETH sulla blockchain di Ethereum, pari a 6,3 milioni di dollari, mentre gli asset restanti sono ancora bloccati all’interno del network.
Il token $CRO ha reagito negativamente alla notizia, senza però innescare un vero e proprio sell-off, con una performance del -1,5% nelle ultime 24 ore. Nel frattempo, il TVL della rete ha perso circa il 30% di tutti gli asset bloccati.
Cronos blocca tutto dopo l’hack di Tectonic
Mentre scriviamo, la rete Cronos risulta ancora ferma, con i validatori che non stanno più avanzando la produzione di nuovi blocchi. Tutti gli utenti dell’ecosistema non possono dunque trasferire criptovalute sulla chain, né eseguire operazioni in DeFi finché il network non verrà riavviato in modo coordinato dai validatori.
L’attacco non ha interessato l’exchange Crypto.com: il CEO Kris Marszalek ha rassicurato gli utenti che l’app e la piattaforma non sono state colpite e che gli asset degli utenti rimangono al sicuro.
Tuttavia, la community resta con l’amaro in bocca per un incidente che avrà sicuramente ripercussioni negative sul futuro dell’ecosistema DeFi – già di per sé parecchio in difficoltà ancor prima dell’exploit – e sulla percezione pubblica della rete Cronos. Non è mai infatti una decisione che si prende a cuor leggero quella di annunciare un halt della chain, in quanto mette in luce la natura centralizzata del sistema, il quale può essere spento a seconda della volontà di pochi validatori.
La conta dei danni è la seguente:
- Fondi rubati: 74 milioni di dollari, di cui 6 milioni bridgati su Ethereum (ormai persi, ndr.) e 68 milioni rimasti bloccati su due indirizzi Cronos.
- Distruzione del TVL: Tectonic è passato da 122 milioni di valore bloccato a poco più di 3 milioni, mentre la Cronos chain ha perso circa il 30% e segna ora 203 milioni di dollari.
- Fiducia degli utenti: in molti si stanno lamentando pubblicamente su X, accusando la rete di non essere realmente decentralizzata e citando tempi di risoluzione del problema troppo lunghi.
Come è avvenuto l’exploit di Tectonic?
Parlare di hack sarebbe tecnicamente improprio. Come accennato prima, l’attaccante non ha violato alcun codice, ed ha invece rispettato tutto ciò che il protocollo Tectonic gli ha consentito di svolgere secondo le regole previste dai contratti. Quanto accaduto ricorda esattamente la folle storia di Avi Eisenberg e dell’exploit di Mango Markets, incidente che nel 2022 portò all’estrazione di oltre 100 milioni di dollari dall’ecosistema DeFi.
In pratica, il soggetto in questione avrebbe manipolato il prezzo di $TONIC, token del protocollo Tectonic che poteva essere utilizzato come garanzia all’interno dello stesso money market. Visto il mercato illiquido della criptovaluta, l’attaccante è riuscito a far crescere il suo prezzo di circa 360 volte con relativamente pochi capitali. Le ultime ricostruzioni parlano di acquisto simultaneo del valore di 600.000 dollari, che gli avrebbe però permesso di ottenere un ritorno estremamente maggiore.
La capitalizzazione di $TONIC è passata da 3,2 milioni di dollari fino a 1,17 miliardi in soli 15 minuti, per poi crollare in stile pump & dump nelle ore successive.
L’exploiter ha poi utilizzato i suoi 364,6 trilioni di token $TONIC appena acquistati come collaterale all’interno di Tectonic, dove la moneta presenta un parametro LTV pari al 20%. La valutazione (sulla carta) degli asset era pari a 375 milioni di dollari, il che vuol dire che l’utente ha avuto la possibilità di prendere in prestito circa 75 milioni di dollari di asset, i quali, ovviamente, non verranno mai restituiti.
Morale della favola: $TONIC è poi crollato dopo la manipolazione e il protocollo di prestito si trova con un ampio bad debt da gestire. Non è escluso che questo incidente porterà alla chiusura di Tectonic, come accaduto per altri money market che hanno affrontato un attacco simile.
Seguiranno aggiornamenti per capire come Cronos deciderà di risolvere la situazione, se con un fork o con il freeze di una parte degli asset rubati.
La DeFi non impara mai dai suoi errori
L’exploit poteva essere facilmente evitato con un po’ di prevenzione e una valutazione più attenta del rischio legato ai collaterali accettati dal protocollo Tectonic. Sono ormai diversi anni che le piattaforme di lending subiscono questo tipo di attacco, e ancora oggi i vari team non hanno imparato dai costosi errori pagati dai propri colleghi.
Se un token presenta un mercato con pochissima profondità non può essere utilizzato come garanzia, proprio perché farlo pompare e portarlo a una valutazione miliardaria diventa un’operazione fin troppo semplice. In alternativa potrebbero anche essere implementati dei sistemi di protezione basati su oracoli, in grado di rilevare variazioni di prezzo anomale e di sospendere temporaneamente l’accettazione di nuovi collaterali o l’erogazione di nuovi prestiti.
Solo tre giorni fa Moonwell, un protocollo operativo di rete Base, ha perso 8,7 milioni di dollari a causa di un attacco molto simile, con l’hacker che ha manipolato il prezzo del token $MAMO.
Forse negli ultimi anni il fenomeno degli attacchi a protocolli crittografici è aumentato anche a causa del boom dell’AI, con la tecnologia che aiuta gli attaccanti a rivelare falle ed errori di progettazione in tempi più brevi del solito.
