- 30 августа 2026 года Tectonic — ведущая лендинговая платформа Cronos — потеряла примерно 75 миллионов долларов США в результате инцидента с манипуляцией ценой.
- Злоумышленник искусственно завысил цену TONIC, управляющего токена Tectonic, примерно в 100 раз за 20 минут, после чего вывел более ликвидные активы, заложив завышенные активы в качестве обеспечения.
- Недельный объем торгов TONIC за семь дней до инцидента составил около 305 931 долларов США; сумма заимствования превысила этот показатель в 245 раз.
- Валидаторы Cronos прекратили производство блоков за считанные минуты; блок 90907150 с отметкой времени 14:32:47 UTC стал последним перед остановкой, что подтверждено тремя независимыми источниками узлов.
- Около 6 миллионов долларов уже были переведены в Ethereum в виде USDC, когда сеть была заморожена; впоследствии валидаторы восстановили цепь по снимку до эксплойта, тем самым отменив примерно 68,7 миллионов долларов, оставшихся на Cronos.
- Количество инцидентов с манипуляцией ценой в 2026 году достигло 32 — это рекордный годовой показатель.
Механика эксплойта
Лендинговые платформы рассчитывают лимиты заимствования, запрашивая оценки обеспечения у оракулов, которые получают цены из рыночной активности. Токен с минимальной ликвидностью можно резко поднять в цене усилиями одного участника. За неделю до 30 августа объем торгов TONIC составил 305 931 долларов США. За все 57 месяцев существования токена совокупный объем торгов достиг 929 миллионов долларов, то есть сумма, извлечённая 30 августа, составила 8% от всего оборота.
Примерно за 20 минут злоумышленник увеличил цену TONIC в 100 раз, внес завышенные токены как обеспечение и вывел более стабильные активы из пулов Tectonic. В опубликованных отчетах сумма потерь указана как 75 миллионов долларов; один блокчейн-анализ оценивает ущерб в 119,5 миллионов долларов. С 26 по 31 августа общий TVL Tectonic снизился примерно с 121,7 млн до 3 млн долларов.
Сеть Cronos признала взлом в заявлении: «Мы выявили эксплойт в Tectonic. Сеть Cronos остановлена, обновления будут здесь.» Tectonic призвал пользователей приостановить любые действия с протоколом до официального разрешения ситуации.
Откат цепи вернул большую часть украденного; переведённые активы остались вне доступа
Похищенные средства первоначально поступили на два адреса-получателя в сети Cronos. Оттуда злоумышленник консолидировал активы и перевёл их через мост Cronos EVM. Основной кошелек атакующего в Ethereum теперь содержит около 6 миллионов долларов, прошедших через мост; эта сумма конвертирована в USDC и затем примерно в 2 592 ETH. Всё остальное осталось на Cronos, и когда валидаторы откатили цепь к состоянию до эксплойта, эта часть была возвращена. Переведённые через мост средства остались нетронутыми, поскольку откат Cronos не может повлиять на реестр Ethereum.
Крупные кражи обычно проходят через кроссчейн-мосты и swap-платформы без требований KYC до попадания на биржу, и проверка только первого шага не выявляет такую схему. Эффективное отслеживание требует анализа нескольких переходов на всём пути отмывания — TRM Forensics обеспечивает это за счёт расширяющегося покрытия по мере идентификации новых кошельков злоумышленника. Beacon Network распространяет данные о кошельках атакующих среди бирж-участников, эмитентов стейблкоинов и DeFi-протоколов в течение нескольких минут после обнаружения.
Валидаторы остановили сеть за считанные минуты
В большинстве крупных эксплойтов средства попадают в другую сеть за несколько часов, и к моменту подтверждения инцидента вернуть уже почти нечего. Cronos использует консенсус Tendermint с максимумом в 100 валидаторов — этого достаточно мало для быстрой координации отключения. Блок 90907150 с отметкой времени 14:32:47 UTC 30 августа был последним, что подтверждено тремя независимыми провайдерами узлов и публичным узлом.
Остановка сети заблокировала примерно 92% похищенных средств. У валидаторов было три варианта: возобновить сеть в текущем состоянии, заморозить кошельки злоумышленника или откатить цепь к моменту до эксплойта. Был выбран третий вариант. 31 августа Cronos объявил о возобновлении выпуска блоков и полном восстановлении работы сети, с откатом к снимку до атаки. Откат виден ончейн: высота блока, ранее считавшегося последним перед остановкой, теперь имеет другую отметку времени и не содержит транзакций, а кошелек, переводивший активы в Ethereum, не показывает исходящих переводов.
Ближайший аналогичный случай — эксплойт KelpDAO в апреле 2026 года: похищено $292 млн, Arbitrum Security Council заморозил ETH на сумму около $75 млн. Примерно $175 млн в ETH, оставшихся незамороженными, были затем обменяны на Bitcoin, в основном через THORChain. На Arbitrum была заморожена часть средств KelpDAO, остальные ушли дальше. На Cronos был отменён весь вывод, который не успел покинуть цепь.
Манипуляции ценой достигли рекордного уровня в 2026 году
Взломы лендинговых протоколов в 2026 году преимущественно нацелены на обеспечение, а не логику протокола. Если злоумышленник может убедить протокол в том, что практически бесполезный актив стоит серьёзных денег, эксплуатировать уязвимость в коде не требуется. Нужно лишь, чтобы токен имел низкую ликвидность и чтобы оракул оценивал его по данным этого рынка. TRM зафиксировал 32 эксплойта с манипуляцией ценой в 2026 году — больше, чем в любой предыдущий год.
Tectonic занимает второе место среди крупнейших эксплойтов этого года, связанных с фальсификацией или манипуляцией обеспечением, а не ошибками в коде. В атаке на Drift Protocol 1 апреля злоумышленник подделал обеспечение полностью: токен CarbonVote Token, несколько тысяч долларов ликвидности на Raydium и история wash-trading с ценой около $1. Оракулы Drift приняли токен как легитимный, и за 12 минут было выведено около $285 млн в 31 транзакции. В отличие от Tectonic, в Drift, по анализу TRM, ключевыми уязвимостями стали социальная инженерия с мультисигами и миграция управления без time-lock, а изготовленное обеспечение было лишь одним из элементов. За три дня до Tectonic, 27 августа, похожий эксплойт с манипуляцией ценой вывел $8,7 млн с Moonwell на Base, ещё одной лендинговой платформы.
Манипуляции ценой теперь составляют примерно каждую восьмую атаку, тогда как в 2022 году их доля была одна из 17. Хотя доля похищенной суммы остаётся стабильной, количество инцидентов, связанных с манипуляцией ценой, стабильно растёт с 2022 года.
В отчёте TRM за первое полугодие 2026 года зафиксировано 207 инцидентов и $972 млн украденных средств, медианная потеря — $219 000. Tectonic — третья по величине атака с манипуляцией ценой в истории, уступая только Cetus в мае 2025 и Mango Markets в октябре 2022 года.
Дальнейшие шаги и мониторинг
Cronos и Tectonic не раскрывают, будут ли заморожены выявленные адреса, отменены дополнительные транзакции или начаты переговоры с злоумышленником. Около $6 млн на Ethereum остаются вне досягаемости отката и составляют активную часть дела.
TRM пока не приписывает эксплойт какому-либо актору, и нет доказательств для атрибуции на данный момент. TRM отслеживает помеченные адреса и будет обновлять атрибуцию по мере появления новой информации.
Биржам и поставщикам услуг с виртуальными активами следует проверять депозиты из указанных адресов и их контрагентов на одно звено назад, в первую очередь — депозиты ETH с датой начиная с 30 августа. Именно Ethereum содержит единственные средства, которые не были возвращены откатом, и именно эта часть всё ещё может попасть на биржу. Для более широкого обзора тенденций в незаконной криптоактивности см. отчёт TRM 2026 Crypto Crime Report.
Источник: www.trmlabs.com