Cronos legt hele blockchain stil na hack van $75 miljoen

Cronos heeft zondag zijn volledige blockchain stilgelegd na een grote aanval op Tectonic, het grootste leenplatform op het netwerk. Een aanvaller manipuleerde de prijs van een kleine cryptomunt en gebruikte de kunstmatig hoge waarde vervolgens als onderpand om voor naar schatting 75 miljoen dollar aan andere crypto te lenen.

De gevolgen zijn groot. Enkele dagen voor de aanval zat nog ruim 121 miljoen dollar aan crypto vast in Tectonic. Maandagochtend was dat bedrag teruggelopen tot ongeveer 3 miljoen dollar. Cronos, dat in 2021 door Crypto.com werd gelanceerd, besloot daarop het hele netwerk stil te leggen.

Aanvaller blaast TONIC koers kunstmatig op

De aanval draaide om TONIC, de eigen token van Tectonic. Gebruikers konden deze munt als onderpand storten en daar vervolgens andere cryptomunten tegen lenen.

Daar zat een belangrijk risico. TONIC werd nauwelijks verhandeld, met ongeveer 1,34 miljoen dollar aan liquiditeit en een dagelijks handelsvolume van slechts 11.000 dollar. Daardoor was de prijs relatief makkelijk te beïnvloeden.

De aanvaller maakte daar gebruik van. Uit blockchaingegevens blijkt dat de TONIC koers in ongeveer twintig minuten honderd keer zo hoog werd. Vervolgens werden de plotseling veel meer waard geworden tokens als onderpand bij Tectonic gestort.

Tectonic stond toe dat gebruikers twintig procent van de waarde van hun TONIC konden lenen. Door de kunstmatig opgeblazen koers kon de aanvaller daardoor veel meer andere cryptomunten opnemen dan normaal mogelijk zou zijn geweest.

Toen de TONIC koers daarna weer instortte, was het onderpand veel minder waard. De andere cryptomunten waren toen al uit het platform gehaald.

Bijna al het geld verdwijnt uit Tectonic

De gevolgen zijn terug te zien in de cijfers van DeFiLlama. Op 26 augustus zat ongeveer 121,7 miljoen dollar aan vermogen vast in Tectonic. Dat was op dat moment bijna de helft van al het geld binnen de DeFi-applicaties op Cronos.

Maandagochtend was dat bedrag teruggelopen tot ongeveer 3 miljoen dollar. De geschatte buit van de aanvaller bedraagt ongeveer 75 miljoen dollar, maar Cronos en Tectonic hebben het definitieve verlies nog niet bevestigd.

Tectonic waarschuwde in zijn eigen documentatie al dat cryptomunten met weinig liquiditeit extra gevoelig zijn voor prijsmanipulatie. Eerder dit jaar nam het platform bovendien maatregelen om de risico’s bij sommige munten te beperken.

Cronos legt volledige blockchain stil

Na de aanval nam Cronos een uitzonderlijke maatregel: het hele netwerk werd stilgelegd. Daardoor konden tijdelijk geen nieuwe transacties meer worden verwerkt en kon ook de aanvaller het buitgemaakte vermogen niet verder verplaatsen.

Dat Cronos zo snel kon ingrijpen, heeft te maken met de manier waarop het netwerk is opgebouwd. De blockchain heeft maximaal honderd validators. Deze partijen controleren transacties en zorgen ervoor dat het netwerk blijft draaien. Omdat het om een relatief kleine groep gaat, konden zij binnen korte tijd gezamenlijk besluiten de blockchain te stoppen.

De ingreep had wel gevolgen voor iedereen die Cronos gebruikt. Niet alleen de aanvaller werd geblokkeerd, maar ook gewone gebruikers konden geen crypto meer versturen of andere transacties uitvoeren.

Tegelijkertijd roept de noodstop vragen op over de decentralisatie van Cronos. Een blockchain die door een beperkte groep validators volledig kan worden stilgelegd, is uiteindelijk afhankelijk van de beslissingen van die groep.