Cronos draait 10.000 blokken terug na hack van $75 miljoen

Cronos heeft een uitzonderlijke maatregel genomen na een grote aanval op leenplatform Tectonic. Validators legden het netwerk tijdelijk stil en draaiden meer dan 10.000 blokken terug. Daarmee werd voorkomen dat het grootste deel van de buit definitief verdween.

De ingreep beschermde naar schatting 69 miljoen dollar, maar zorgt ook voor discussie. Want als duizenden bevestigde transacties achteraf kunnen worden gewist, hoe onveranderlijk is een blockchain dan eigenlijk?

Aanvaller maakt misbruik van TONIC koers

De aanval vond plaats op 30 augustus en draaide om TONIC, de eigen token van Tectonic. Gebruikers konden deze munt als onderpand gebruiken om andere digitale activa te lenen.

De aanvaller kocht naar schatting voor ongeveer 600.000 dollar aan TONIC op markten waar weinig handel plaatsvond. Daardoor kon de koers relatief eenvoudig worden opgedreven. Binnen ongeveer twintig minuten werd TONIC naar verluidt honderd keer zoveel waard.

Vervolgens werd 364,6 biljoen TONIC als onderpand bij Tectonic gestort. Door de kunstmatig hoge koers was die positie op papier ongeveer 375 miljoen dollar waard. Daarmee kon de aanvaller ongeveer 75 miljoen dollar aan andere digitale activa lenen en weghalen.

In werkelijkheid waren de TONIC-tokens lang geen 375 miljoen dollar waard. Als de aanvaller ze op grote schaal had geprobeerd te verkopen, zou de koers door het gebrek aan kopers waarschijnlijk snel zijn ingestort.

Volgens RedStone-medeoprichter Marcin Kazmierczak zat daar de belangrijkste zwakke plek. Het systeem zag wel de actuele TONIC koers, maar hield onvoldoende rekening met hoeveel tokens daadwerkelijk tegen die prijs konden worden verkocht.

Cronos wist ongeveer $69 miljoen te redden

Na de aanval grepen Cronos-validators hard in. Ze legden het netwerk eerst stil en brachten de blockchain vervolgens terug naar een moment vóór de aanval. Daardoor verdwenen meer dan 10.000 blokken uit de officiële geschiedenis.

Ongeveer 6 miljoen dollar was toen al naar Ethereum (ETH) verplaatst en viel buiten het bereik van Cronos. De overige circa 69 miljoen dollar bevond zich nog op het netwerk en kon door de ingreep worden beschermd.

De gevolgen voor Tectonic waren groot. Voor de aanval stond ongeveer 121,7 miljoen dollar op het platform. Binnen 48 uur was daar nog slechts ongeveer 3 miljoen dollar van over.

Ingreep zorgt voor discussie over Cronos

De reddingsactie heeft een prijs. Door duizenden blokken terug te draaien, verdwenen niet alleen transacties van de aanvaller. Ook normale transacties van gebruikers uit dezelfde periode werden uit de geschiedenis van Cronos verwijderd.

Dat raakt aan een belangrijk principe van blockchaintechnologie: bevestigde transacties zouden in principe niet zomaar achteraf veranderd moeten kunnen worden.

Cronos noemt de ingreep een noodmaatregel waarover validators gezamenlijk overeenstemming bereikten. Een uitgebreider technisch rapport moet nog volgen.

De situatie doet denken aan de DAO-hack bij Ethereum in 2016. Ook toen werd de geschiedenis van de blockchain aangepast om de gevolgen van een grote aanval terug te draaien. Cronos heeft nu ongeveer 69 miljoen dollar weten te beschermen, maar tegelijkertijd een nieuwe discussie geopend over hoe decentraal en onveranderlijk het netwerk werkelijk is.