Cronos đã dừng hoạt động blockchain vào Chủ nhật sau khi một vụ khai thác lỗ hổng tại Tectonic, giao thức cho vay lớn nhất mạng lưới, cho phép kẻ tấn công sử dụng giá token TONIC bị thổi phồng mạnh làm tài sản thế chấp để vay các tài sản khác. Nhà nghiên cứu on-chain Weilin Li ước tính khoảng 75 triệu USD bị ảnh hưởng, dù tại thời điểm dừng mạng, Tectonic chưa xác nhận con số thiệt hại hoặc xác định nguyên nhân kỹ thuật cốt lõi.
Việc dừng hoạt động trên toàn mạng đã hạn chế khả năng kẻ tấn công tiếp tục chuyển tiền qua Cronos. Li cho biết khoảng 6 triệu USD đã được chuyển qua cầu nối sang Ethereum trước khi các validator tạm dừng sản xuất block, trong khi phần tài sản lớn hơn được xác định trong các vị thế do kẻ tấn công kiểm soát vẫn nằm trên mạng lưới bị dừng.
Cronos cho biết họ đã phát hiện một vụ khai thác lỗ hổng ảnh hưởng đến Tectonic và dừng mạng để điều tra. Tectonic cũng thông báo riêng cho người dùng không tương tác với các thị trường cho vay của mình cho đến khi có thông báo mới. Cả hai dự án đều không cho biết khi nào Cronos sẽ hoạt động trở lại hoặc liệu các validator có hành động đối với những địa chỉ liên quan đến vụ khai thác trước khi mở lại mạng hay không.
Tài sản thế chấp TONIC bị thổi phồng đã cung cấp vốn cho việc vay
Li truy nguyên cuộc tấn công đến việc thao túng TONIC, token quản trị của Tectonic, vốn có thanh khoản giao dịch tương đối hạn chế. Theo phân tích on-chain của Li, kẻ tấn công đã đẩy giá TONIC lên khoảng 100 lần so với mức trước đó trong khoảng 20 phút, sau đó gửi token này vào Tectonic và vay các tài sản khác dựa trên mức định giá bị thổi phồng nhân tạo.
Cấu trúc này tương tự một điểm yếu thường gặp trong hoạt động cho vay phi tập trung: một giao thức chấp nhận token làm tài sản thế chấp dựa trên nguồn cấp giá, trong khi kẻ tấn công lợi dụng thanh khoản mỏng để khiến mức giá đó tạm thời trở nên không đáng tin cậy. Nếu thị trường cho vay tiếp tục công nhận mức giá bị thổi phồng, một lượng token khiêm tốn có thể được xem là đủ giá trị để hỗ trợ khoản vay đáng kể.
Các thiết lập thị trường tiền tệ được Tectonic công bố quy định hệ số thế chấp 20% cho TONIC. Điều đó có nghĩa là người dùng có thể vay các tài sản có giá trị tối đa bằng 20% giá trị được gán cho lượng TONIC họ đã ký gửi. Giới hạn này nhằm tính đến biến động giá, nhưng mang lại ít sự bảo vệ hơn khi giá thị trường của token có thể bị đẩy lên cao một cách mạnh mẽ trong thời gian ngắn.
Li xác định một vị thế chứa khoảng 364,6 nghìn tỷ TONIC. Để vị thế đó hỗ trợ khoản vay khoảng 75 triệu USD với hệ số tài sản thế chấp 20%, số token này phải được định giá khoảng 375 triệu USD, tương đương khoảng 0,00000103 USD mỗi TONIC. Phép tính này cho thấy một mức giá thị trường bị thao túng có thể biến một vị thế token thành tài sản thế chấp có vẻ hợp lệ, dù không có đủ thanh khoản cơ bản để hỗ trợ mức định giá đó.
Ban đầu, Li ước tính kẻ tấn công đã vay khoảng 66 triệu USD. Sau khi phát hiện một địa chỉ khác do kẻ tấn công kiểm soát đang nắm giữ khoảng 8 triệu USD, Li nâng tổng số tiền ước tính lên khoảng 75 triệu USD.
Việc dừng chuỗi chứa tài sản nhưng để lại các câu hỏi về khả năng khôi phục
Một vụ khai thác giao thức cho vay thông thường sẽ cho phép kẻ tấn công tự do chuyển tài sản đã vay qua các cầu nối, sàn giao dịch hoặc mạng lưới khác. Quyết định dừng tạo khối của Cronos đã ngăn chặn hoạt động mới trên chuỗi, đưa các tài sản còn lại trên chuỗi ra khỏi tầm với trước mắt của kẻ tấn công trong khi các trình xác thực và nhà phát triển đánh giá sự cố.
Phản ứng này cũng tạo ra những lựa chọn khó khăn về quản trị và kỹ thuật. Các trình xác thực Cronos có thể khởi động lại mạng mà không thay đổi lịch sử giao dịch, qua đó có khả năng giữ nguyên mọi số dư do kẻ tấn công kiểm soát trên chuỗi. Họ có thể tìm cách đưa vào danh sách đen các địa chỉ liên quan đến vụ khai thác, nếu các quy tắc và phần mềm của mạng hỗ trợ cách tiếp cận đó. Việc khôi phục lịch sử blockchain có thể đảo ngược các giao dịch sau một thời điểm được chọn, dù phương án này sẽ ảnh hưởng đến những người dùng khác có các giao dịch hợp pháp được đưa vào cùng khoảng thời gian.
Cronos chưa nêu rõ đang cân nhắc phương án nào. Các bước tiếp theo của chuỗi sẽ quyết định liệu sự cố chủ yếu được xử lý thông qua biện pháp khắc phục ở cấp ứng dụng tại Tectonic hay thông qua sự can thiệp ở cấp blockchain.
Sự khác biệt này quan trọng đối với người dùng trong hệ sinh thái Cronos rộng lớn hơn. Tectonic là một giao thức tài chính phi tập trung độc lập được triển khai trên chuỗi, trong khi Cronos cung cấp mạng lưới nền tảng nơi các hợp đồng thông minh của giao thức hoạt động. Kris Marsalek cho biết ứng dụng của công ty không bị xâm phạm và đội ngũ an ninh của công ty đang hỗ trợ cuộc điều tra. Cronos ban đầu được công ty phát triển.
Tectonic là nền tảng cho vay lớn nhất của Cronos
Trước vụ khai thác, Tectonic nắm giữ tổng giá trị bị khóa khoảng 121,7 triệu USD và có khoảng 82,7 triệu USD khoản vay đang hoạt động, theo DefiLlama. Do đó, số tiền ước tính bị ảnh hưởng là rất lớn so với hoạt động cho vay được giao thức báo cáo, làm dấy lên câu hỏi liệu thanh khoản, dự trữ hiện có hoặc các biện pháp thu hồi trong tương lai có thể bù đắp cho các vị thế bị ảnh hưởng hay không.
Tectonic vẫn chưa cho biết liệu vụ khai thác bắt nguồn từ thiết kế oracle, nguồn được sử dụng để định giá TONIC, cấu hình thị trường vay, hoạt động của hợp đồng thông minh hay sự kết hợp của các yếu tố này. Chỉ thị ngay lập tức yêu cầu người dùng tránh tương tác với giao thức cho thấy đội ngũ này chưa coi các thị trường cho vay đủ an toàn để hoạt động trở lại.
Sự cố đặc biệt thu hút sự chú ý đến cách các token quản trị có thanh khoản thấp được xử lý trong các thị trường tiền tệ. Các hệ số tài sản thế chấp được thiết kế để giới hạn mức độ tiếp xúc cho vay, nhưng công thức này phụ thuộc vào việc giá đầu vào vẫn đáng tin cậy. Giới hạn vay 20% hầu như không mang lại sự bảo vệ nếu giá được báo cáo của một token tăng gấp 100 lần mà không có đủ độ sâu thị trường giao ngay để người vay bán với mức giá gần như vậy.
Các giao thức thường ứng phó với những sự kiện như vậy bằng cách vô hiệu hóa việc vay dựa trên tài sản thế chấp bị ảnh hưởng, giảm hệ số tài sản thế chấp, giới hạn tiền gửi hoặc siết chặt hạn mức vay tối đa. Những biện pháp này có thể giảm mức độ phơi nhiễm trước các biến động giá đột ngột, dù không thể thu hồi những tài sản đã được vay trong cuộc tấn công.
Các vụ khai thác gần đây cho thấy một điểm yếu quen thuộc của thị trường cho vay
Li so sánh cuộc tấn công Tectonic với vụ khai thác Mango Markets năm 2022, trong đó kẻ tấn công thao túng giá trị tài sản thế chấp để vay tài sản từ giao thức. Mango trở thành một trong những ví dụ rõ ràng nhất về cách các nguồn cấp giá onchain và tài sản có thanh khoản thấp có thể tạo ra lỗ hổng khi hạn mức cho vay được hiệu chỉnh dựa trên các mức định giá bị thao túng.
Rủi ro tổng quát tương tự vẫn tồn tại trên các thị trường DeFi mới hơn. Theo thông tin được cung cấp, ước tính 8,7 triệu USD đã bị mất trong một cuộc tấn công thao túng giá liên quan đến Moonwell trên Base, xảy ra ba ngày trước sự cố Tectonic. Giao thức stablecoin Resupply cũng hứng chịu một cuộc tấn công được báo cáo gây thiệt hại 9,5 triệu USD vào năm ngoái.
Đối với Cronos, trọng tâm trước mắt hẹp hơn: xác định những gì đã xảy ra bên trong Tectonic, kiểm kê các tài sản vẫn còn trên chuỗi bị tạm dừng và quyết định các điều kiện để khởi động lại. Với chỉ khoảng 6 triệu USD được báo cáo là đã chuyển qua cầu nối sang Ethereum trước khi tạm dừng, việc đình chỉ đã hạn chế các đường thoát của kẻ tấn công, nhưng đồng thời cũng biến quá trình khôi phục thành một quyết định cấp mạng lưới thay vì chỉ là phản ứng ở cấp hợp đồng thông minh.
Lo lắng về các vụ khai thác DeFi như vụ Tectonic? Tìm hiểu cách DeFi hoạt động để hiểu rõ hơn về các rủi ro của giao thức.
Tuyên bố miễn trừ trách nhiệm: Nội dung trên trang này chỉ được cung cấp cho mục đích thông tin chung và không đại diện cho quan điểm hay lời khuyên tài chính của Toobit. Chúng tôi không đảm bảo về tính chính xác hoặc đầy đủ của thông tin này và không chịu trách nhiệm về bất kỳ sai sót, thiếu sót hoặc kết quả nào phát sinh từ việc sử dụng thông tin. Đầu tư vào tài sản kỹ thuật số có rủi ro; người dùng nên tự đánh giá tình hình tài chính của mình và các rủi ro liên quan. Để biết thêm chi tiết, vui lòng tham khảo Điều khoản dịch vụ và Công bố rủi ro.
