Що сталося
30 серпня 2026 року з Tectonic — найбільшого кредитного протоколу мережі Cronos — вивели близько $75 млн. Смартконтракт не ламали: нападник за 20 хвилин розігнав ціну токена управління TONIC приблизно в 100 разів, а потім позичив під подорожчану заставу все, до чого дотягнувся. Cronos у відповідь зупинив увесь блокчейн, і на 31 серпня мережа досі не виробляє блоки.
Деталі
| Показник | Значення на 31 серпня 2026 |
|---|---|
| Оцінка втрат | близько $75 млн (PeckShield — приблизно $74 млн) |
| Пішло в Ethereum до зупинки | близько $6 млн |
| Застрягло в зупиненій мережі | близько $60 млн |
| Ліквідність TONIC до атаки | близько $1,34 млн |
| Коефіцієнт застави в TONIC | 20% |
| Розгін ціни | приблизно у 100 разів за 20 хвилин |
Ончейн-дослідник Вейлінь Лі спершу оцінив збитки в $66 млн і згодом підняв оцінку до $75 млн; PeckShield назвала близьку цифру. Схему описують як класичну «накачку і позику» в дусі історії з Mango Markets.
Ключ до атаки — не код, а параметр. Tectonic дозволив використовувати власний токен управління як заставу з коефіцієнтом 20% за ліквідності всього близько $1,34 млн. Щоб позичити десятки мільйонів, нападнику вистачило розігнати ринок обсягом трохи більше за мільйон доларів.
Кріс Маршалек, голова Crypto.com, заявив, що біржа і застосунок працюють штатно, а кошти клієнтів у безпеці. Сама Tectonic попросила вкладників не взаємодіяти з протоколом, доки безпеку не підтвердять.
Що це означає
Стосується це двох груп, і по-різному. Постачальники ліквідності Tectonic втратили гроші напряму. А от усі, у кого активи просто лежали в мережі Cronos, потрапили під зупинку: близько $60 млн украденого заморожені разом із чужими коштами, бо блоки не виробляються ні для кого. Зупинка мережі — це не лише захист, це ще й спільний стоп-кран, який смикають без вашої згоди.
Урок тут про параметри ризику, а не про аудит. Заставний коефіцієнт 20% на токен із ліквідністю $1,34 млн означає, що ринок можна зрушити сумою, непорівнянною з розміром скарбниці. Таку дірку аудит коду не ловить: контракт відпрацював рівно так, як написаний. Механіку ми розбирали окремо — як у DeFi підробляють ціну активу і чому усереднення в часі рятує не завжди. Практичне правило перед заходом у дохідний протокол: дивитися, які активи прийняті в заставу і яка в них реальна глибина ринку.
Горизонт — найближчі дні: доки Cronos не перезапустить мережу, кошти звідти не вивести, а умови рестарту й долю застряглих $60 млн визначить команда.
Контекст
Це вже не перша зупинена мережа за серпень. 21 серпня MANTRA Chain зупинила блоки після експлойта у сторонньому модулі — там причиною була спільна помилка Cosmos EVM, яка зачепила чотири блокчейни. У Cronos причина інша: не чужий код, а власні налаштування застави.
