Cronos menghentikan blockchain-nya pada hari Minggu setelah eksploitasi di Tectonic, protokol pinjaman terbesar di jaringan tersebut, memungkinkan penyerang menggunakan harga token TONIC yang meningkat tajam sebagai agunan untuk meminjam aset lain. Peneliti on-chain Weilin Li memperkirakan sekitar $75 juta terdampak, meskipun Tectonic belum mengonfirmasi jumlah kerugian atau mengidentifikasi penyebab teknis yang mendasarinya saat penghentian berlangsung.
Penghentian di seluruh jaringan membatasi kemampuan penyerang untuk memindahkan dana lebih lanjut melalui Cronos. Li mengatakan sekitar $6 juta telah dijembatani ke Ethereum sebelum validator menjeda produksi blok, sementara sebagian besar aset yang diidentifikasi dalam posisi yang dikendalikan penyerang tetap berada di jaringan yang dihentikan tersebut.
Cronos mengatakan telah mengidentifikasi eksploitasi yang berdampak pada Tectonic dan menghentikan jaringan saat melakukan penyelidikan. Secara terpisah, Tectonic memberi tahu pengguna agar tidak berinteraksi dengan pasar pinjamannya sampai ada pemberitahuan lebih lanjut. Tidak ada proyek yang mengatakan kapan Cronos akan dimulai kembali atau apakah validator akan mengambil tindakan terhadap alamat yang terkait dengan eksploitasi sebelum jaringan dibuka kembali.
Agunan TONIC yang meningkat mendanai pinjaman tersebut
Li menelusuri serangan tersebut hingga manipulasi TONIC, token tata kelola Tectonic yang memiliki likuiditas perdagangan relatif terbatas. Menurut analisis on-chain Li, penyerang mendorong harga TONIC hingga sekitar 100 kali lipat dari level sebelumnya dalam waktu sekitar 20 menit, kemudian menyetorkan token tersebut ke Tectonic dan meminjam aset lain dengan jaminan valuasi yang dibuat sangat tinggi tersebut.
Struktur ini menyerupai kelemahan yang berulang dalam pinjaman terdesentralisasi: sebuah protokol menerima token sebagai agunan berdasarkan umpan harga, sementara penyerang mengeksploitasi likuiditas yang tipis untuk membuat harga tersebut tidak dapat diandalkan untuk sementara. Jika pasar pinjaman terus mengakui harga yang meningkat, jumlah token yang relatif kecil dapat terlihat cukup bernilai untuk mendukung pinjaman dalam jumlah besar.
Pengaturan pasar uang Tectonic yang dipublikasikan menetapkan faktor agunan TONIC sebesar 20%. Artinya, pengguna dapat meminjam aset senilai hingga 20% dari nilai yang ditetapkan pada TONIC yang mereka setorkan. Batas ini dimaksudkan untuk memperhitungkan volatilitas harga, tetapi memberikan perlindungan yang lebih kecil ketika harga pasar token dapat didorong naik secara drastis dalam waktu singkat.
Li mengidentifikasi sebuah posisi yang berisi sekitar 364,6 triliun TONIC. Agar posisi tersebut dapat mendukung pinjaman sekitar $75 juta dengan faktor kolateral 20%, token-token itu harus bernilai sekitar $375 juta, atau kira-kira $0,00000103 per TONIC. Perhitungan tersebut menunjukkan bagaimana harga pasar yang dimanipulasi dapat mengubah posisi token menjadi kolateral yang tampaknya valid tanpa likuiditas dasar yang diperlukan untuk mendukung valuasi tersebut.
Li awalnya memperkirakan bahwa penyerang telah meminjam sekitar $66 juta. Setelah menemukan alamat lain yang dikendalikan penyerang dan menyimpan sekitar $8 juta, Li menaikkan perkiraan totalnya menjadi sekitar $75 juta.
Penghentian jaringan menahan aset, tetapi menyisakan pertanyaan tentang pemulihan
Eksploitasi protokol pinjaman biasanya memungkinkan penyerang memindahkan aset yang dipinjam melalui bridge, bursa, atau jaringan lain. Keputusan Cronos untuk menghentikan produksi blok menghentikan aktivitas baru di jaringan tersebut, sehingga aset onchain yang tersisa berada di luar jangkauan langsung penyerang sementara validator dan pengembang menilai insiden tersebut.
Respons tersebut juga menciptakan pilihan tata kelola dan teknis yang sulit. Validator Cronos dapat memulai kembali jaringan tanpa mengubah riwayat transaksinya, yang berpotensi membuat saldo yang dikendalikan penyerang tetap ada di chain. Mereka dapat berupaya memasukkan alamat yang terkait dengan eksploitasi ke daftar hitam, jika aturan dan perangkat lunak jaringan mendukung pendekatan tersebut. Rollback riwayat blockchain dapat membatalkan transaksi setelah titik yang dipilih, meskipun langkah itu akan berdampak pada pengguna lain yang transaksi sahnya tercakup dalam periode yang sama.
Cronos belum menjelaskan opsi mana yang sedang dipertimbangkannya. Langkah Cronos selanjutnya akan menentukan apakah insiden tersebut terutama ditangani melalui perbaikan pada tingkat aplikasi di Tectonic atau melalui intervensi pada tingkat blockchain.
Perbedaan tersebut penting bagi para pengguna ekosistem Cronos yang lebih luas. Tectonic adalah protokol keuangan terdesentralisasi independen yang diterapkan di jaringan tersebut, sementara Cronos menyediakan jaringan dasar tempat smart contract-nya beroperasi. Kris Marsalek mengatakan bahwa aplikasi perusahaan tersebut tidak diretas dan bahwa tim keamanannya membantu penyelidikan. Cronos awalnya dikembangkan oleh perusahaan tersebut.
Tectonic adalah platform pinjaman terbesar Cronos
Sebelum eksploitasi, Tectonic memiliki total nilai terkunci sekitar $121,7 juta dan pinjaman aktif sekitar $82,7 juta, menurut DefiLlama. Oleh karena itu, perkiraan jumlah yang terdampak tergolong besar dibandingkan dengan aktivitas pinjaman yang dilaporkan protokol, sehingga menimbulkan pertanyaan apakah likuiditas yang tersedia, cadangan, atau langkah pemulihan di masa depan dapat menutupi posisi yang terdampak.
Tectonic belum menyatakan apakah eksploitasi tersebut disebabkan oleh desain orakelnya, sumber yang digunakan untuk menentukan harga TONIC, konfigurasi pasar pinjaman, perilaku kontrak pintar, atau kombinasi dari faktor-faktor tersebut. Instruksi langsungnya kepada pengguna untuk menghindari interaksi dengan protokol menunjukkan bahwa tim belum menganggap pasar pinjaman aman untuk kembali beroperasi.
Insiden ini secara khusus menyoroti perlakuan terhadap token tata kelola dengan likuiditas rendah di pasar uang. Faktor agunan dirancang untuk membatasi eksposur pinjaman, tetapi rumusnya bergantung pada input harga yang tetap kredibel. Batas pinjaman 20% hanya memberikan sedikit perlindungan jika harga token yang dilaporkan naik 100 kali lipat tanpa kedalaman pasar spot yang memadai bagi peminjam untuk menjualnya pada harga yang mendekati nilai tersebut.
Protokol biasanya merespons peristiwa semacam ini dengan menonaktifkan pinjaman menggunakan agunan yang terdampak, mengurangi faktor agunan, membatasi setoran, atau memperketat batas maksimum pinjaman. Langkah-langkah tersebut dapat mengurangi eksposur terhadap pergerakan harga yang tiba-tiba, meskipun tidak dapat memulihkan aset yang sudah dipinjam selama serangan.
Eksploitasi terbaru menunjukkan kelemahan yang sudah umum di pasar pinjaman
Li membandingkan serangan terhadap Tectonic dengan eksploitasi Mango Markets pada 2022, ketika penyerang memanipulasi nilai agunan untuk meminjam aset dari protokol. Mango menjadi salah satu contoh paling jelas tentang bagaimana umpan harga on-chain dan aset dengan likuiditas rendah dapat menciptakan kerentanan ketika batas pinjaman dikalibrasi berdasarkan valuasi yang telah dimanipulasi.
Risiko serupa dalam lingkup yang luas masih terjadi di pasar DeFi yang lebih baru. Menurut laporan yang diberikan, sekitar $8,7 juta hilang dalam serangan manipulasi harga yang melibatkan Moonwell di Base, tiga hari sebelum insiden Tectonic. Protokol stablecoin Resupply juga mengalami serangan senilai $9,5 juta pada tahun lalu.
Untuk Cronos, fokus langsungnya lebih sempit: menentukan apa yang terjadi di dalam Tectonic, memperhitungkan aset yang masih berada di chain yang dihentikan, dan memutuskan ketentuan untuk memulai kembali. Dengan hanya sekitar $6 juta yang dilaporkan telah ditransfer melalui bridge ke Ethereum sebelum penghentian, penghentian ini telah membatasi jalur keluar penyerang, tetapi juga mengubah proses pemulihan menjadi keputusan tingkat jaringan, bukan semata-mata respons smart contract.
Khawatir dengan eksploitasi DeFi seperti yang terjadi pada Tectonic? Pelajari cara DeFi bekerja untuk lebih memahami risiko protokol.
Penafian: Konten di halaman ini disediakan hanya untuk tujuan informasi umum dan tidak mewakili pandangan atau nasihat keuangan Toobit. Kami tidak menjamin keakuratan atau kelengkapan informasi ini dan tidak bertanggung jawab atas kesalahan, kelalaian, atau dampak apa pun yang timbul dari penggunaannya. Investasi dalam aset digital melibatkan risiko; pengguna harus mengevaluasi situasi keuangan dan risiko yang terlibat secara mandiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Layanan dan Pengungkapan Risiko.
