Tectonicで7500万ドル流出と推計、Cronosが緊急停止

Tectonic流出でチェーン停止

Crypto.com系ブロックチェーンのCronos（CRO）は30日、レンディングプロトコルTectonicで発生した不正流出を受け、ネットワークのブロック生成を停止した。Cronos Networkは同日、X（旧Twitter）で「Tectonicでエクスプロイトを確認した」と説明し、Tectonicも利用者に対しプロトコルへの接続を控えるよう呼びかけた。

Tectonicは事故発生前、DefiLlamaの集計で総ロック価値（TVL）約1億2170万ドル、貸付残高約8270万ドルを抱えるCronos最大のレンディングプロトコルだった。オンチェーン研究者のウェイリン・リー（Weilin Li）氏は被害額を約7500万ドルと推定しているが、確定額や原因についてTectonicはまだ公表していない。

TONIC価格操作の手口

Li氏によると、攻撃者は薄商いのガバナンストークンTONICの価格を約20分間で100倍に吊り上げ、水増しした担保を元に他資産を借り入れた。Tectonicの担保係数はTONICについて20％に設定されており、攻撃者が保有していた約364.6兆TONICの担保価値を約3億7500万ドル相当と見せかけたことで、約7500万ドルの借り入れが可能になったとみられる。

この手口は2022年に発生したMango Marketsのオラクル操作型攻撃と酷似しているとLi氏は指摘する。Li氏は当初被害額を約6600万ドルと推定していたが、その後別の攻撃者関連アドレスに約800万ドルを確認し、推定額を約7500万ドルに引き上げた。

Crypto.comの対応と今後

攻撃者がイーサリアムへブリッジできた資金は約600万ドルにとどまり、Cronosの停止措置により大部分の資産がチェーン上に留まったとされる。Crypto.comのクリス・マルザレック（Kris Marszalek）最高経営責任者（CEO）はX上で「自社のアプリと取引所は影響を受けていない」と説明し、同社のセキュリティチームがCronosの調査を支援していると明らかにした。

Cronosはもともとcrypto.comが開発したネットワークで、Tectonicはその上で稼働する独立系のレンディングプロトコルとして知られる。