Cronos(CRO)因Tectonic遭7500万美元攻击而停机

Cronos 停止出块

由 Crypto.com 交易所集团孵化的第一层(Layer 1)区块链 Cronos(CRO)于 8 月 30 日停止了出块,原因是其确认链上最大的去中心化借贷协议 Tectonic 遭遇攻击。Cronos 团队在 X 平台发布公告,称已发现“Tectonic 存在漏洞利用”,并在评估事态期间暂停了网络,直接向用户宣布了紧急停机,承诺在调查推进过程中提供经过核实的更新。Tectonic 是一个货币市场类 DeFi 应用,用户存入数字资产赚取浮动利息,并可抵押资产借出其他代币。事发后不到一小时,Tectonic 即承认了此次事件,并发布了自己的用户警告:在团队确认安全之前,请勿与协议进行任何交互。尽管 Tectonic 以独立协议运营、并非 Crypto.com 的产品,但作为该链的核心信贷市场,它的任何沦陷对 Cronos 用户而言都是系统性风险。网络停机是生产级区块链手中最激进的一张牌:停止出块会冻结所有转账、存取款和每一笔智能合约调用,直到验证人重启链为止——用户暂时无法动用资金,但攻击者同样失去了出逃通道。协议上的每一个未平仓位——生息的存款和抵押在库的贷款——在链恢复之前都被冻结在停机前的状态。链上汇总数据显示,Tectonic 作为 Cronos 网络上最大的借贷场所,事发前锁定的总价值约为 1.217 亿美元,未偿贷款约 8270 万美元——一个九位数的用户资金池就此被冻结,等待事件结论。最终能保住多少,取决于攻击者在验证人停止签名之前转移了多少。

364.6 万亿 TONIC,一场 20 分钟的拉盘

链上研究人员已拼出攻击的完整路径,其机制指向蓄意的价格操纵,而非代码缺陷。攻击者瞄准了 Tectonic 流动性极差的治理代币 TONIC,在大约 20 分钟的稀薄交易中将价格拉高了约 100 倍。Tectonic 对 TONIC 适用 20% 的抵押因子——即借款人可按资产标称价值借出的比例——攻击者持有的约 364.6 万亿枚 TONIC 因此被计为约 3.75 亿美元的有效抵押品,足以借此借出约 7500 万美元的其他资产,而其手中资产的实际价值远不及这一数字。这类攻击利用的正是资产报价与真实流动性之间的落差:协议按被拉高的市价为抵押品定价,而市场本身根本承接不了该价位的抛售。链上研究员 Weilin Li 全程公开追踪资金流,最初将损失估计在 6600 万美元附近,随后发现第二个由攻击者控制的钱包地址持有约 800 万美元,遂将估算上调至约 7500 万美元——该数字尚未获得 Tectonic 或 Cronos 的确认。Li 直接将此案与 2022 年 Mango Markets 攻击相提并论:当年攻击者同样利用稀薄代币被操纵的价格制造出巨额可借抵押品,两者的相似度一目了然。就目前而言,止损似乎比预防做得更好:在链停止之前,被盗资金中仅有约 600 万美元被跨链桥接至以太坊,绝大部分资产仍被困在 Cronos 上。Crypto.com 首席执行官 Kris Marszalek 公开回应了此事,称公司 App 与交易所未受影响,Crypto.com 的安全团队正在协助调查。Tectonic 尚未公布确认的损失数字或根本原因报告,研究员的估算目前仍是对损失的最好公开核算。

停机买到的是时间,不是解药

COINOTAG 的判断是,这是一起教科书式的稀薄流动性操纵,而这次紧急停机——一项直接介入链本身共识机制的干预——买到的是时间,而不是根治。链上证据已经指向根本原因:对一个流动性极差的治理代币设定 20% 的抵押因子,让一场 20 分钟的拉盘凭空造出了约 3.75 亿美元的幻影抵押品。后续补救取决于 Tectonic 的复盘报告,以及能否在剩余资金被转移之前完成对已借出仓位的清算回收。这次事件落在一个信任本已受损的生态上——Crypto.com 此前曾在另一起事件中冻结用户资金 8 天,Trump Media 则放弃了价值 64.2 亿美元的 CRO 财库计划——这也提醒整个山寨币市场:抵押品设计才是真正的安全边界,DeFi 2.0 时代的借贷协议,其安全性不会超过自身最稀薄的那个市场。