Cronos rollt 10.961 Blöcke nach Tectonic-Hack zurück
Validatoren rollten 10.961 Blöcke zurück, um nach einem Exploit auf Tectonic $111,2 Millionen wiederherzustellen. Der Eingriff wirft Fragen zu Finalität und Dezentralisierung auf Cronos auf.
Wichtigste Erkenntnisse
- Cronos rollte nach dem Tectonic-Hack 10.961 Blöcke zurück und stellte damit $111,2 Millionen wieder her, rund 92% der betroffenen Mittel.
- Der Angriff vom 30. August betraf $120,4 Millionen an Borrowing-Aktivität; $9,19 Millionen blieben außer Reichweite, weil sie bereits abgezogen worden waren.
- Der Rollback machte auch nicht mit dem Angriff zusammenhängende Transaktionen rückgängig, was die Debatte über Sicherheit, Dezentralisierung und Finalität auf Cronos anheizt.
Cronos hat nach dem Hack auf der Lending-Plattform Tectonic 1 Stunde und 54 Minuten an Chain-History zurückgedreht, um $111,2 Millionen (€95,7 Millionen) wiederherzustellen. Nach Angaben des Netzwerks handelte es sich um eine „harte Entscheidung“ der Validatoren, mit der sie rund 92% der betroffenen Mittel zurückholten. Der Eingriff zeigt, wie weit eine Blockchain manchmal gehen muss, um gestohlene Krypto zurückzuholen, aber auch, wie tiefgreifend so eine Wiederherstellung für Nutzer und Apps im Netzwerk sein kann.
Was passiert ist
Cronos meldete, dass der Angriff vom 30. August insgesamt $120,4 Millionen (€104 Millionen) an Borrowing-Aktivität betraf. Das ist mehr, als zunächst angenommen wurde. Als das Netzwerk am 31. August angehalten wurde, ging man noch von etwa $75 Millionen (€64,5 Millionen) an erbeuteten Mitteln aus.
Laut dem Post-Mortem blieben $9,19 Millionen (€7,9 Millionen), also rund 7,6% der betroffenen Mittel, außer Reichweite, weil sie bereits vor der Stilllegung des Netzwerks abgezogen worden waren. Der Angreifer setzte Contracts ein und trieb den Preis von TONIC, dem nativen Token von Tectonic, laut Cronos innerhalb weniger Minuten mit dünner DEX-Liquidität um etwa das 100-Fache nach oben. Danach wurden in einer einzigen Transaktion $120,4 Millionen (€104 Millionen) über neun Märkte mit dem aufgeblähten Sicherheitenwert geliehen.
Die Validatoren legten das Netzwerk etwa zwei Stunden später still und setzten die Chain schließlich auf den letzten Block vor der verdächtigen Aktivität zurück. Die Blockproduktion wurde rund 11 Stunden nach dem Exploit wieder aufgenommen.
Folgen für Nutzer
Der Rollback bedeutete, dass 10.961 Blöcke zurückgesetzt wurden. Alle Transaktionen in diesem Zeitfenster wurden rückgängig gemacht, auch solche, die nichts mit dem Angriff zu tun hatten. Cronos räumte ein, dass das zu Störungen führte, und sagte, dass offene Positionen auf Live-Apps neu bepreist wurden, als der Handel wieder aufgenommen wurde.
Das ist relevant für Nutzer und Entwickler außerhalb von Tectonic. Ein Trade, eine Überweisung oder eine Smart-Contract-Aktion auf Cronos kann später doch noch aus der Historie verschwinden, wenn Validatoren beschließen, die Chain zurückzusetzen. Vor allem Bridges und andere Apps, die bereits auf eine Cronos-Transaktion reagieren, bevor so eine Entscheidung umgesetzt ist, laufen dann ein zusätzliches Risiko für Fehler oder Verluste.
Debatte über Finalität
Die Entscheidung passt in eine breitere Debatte in der Krypto-Welt über Sicherheit versus Dezentralisierung. Rollbacks können gestohlene Mittel zurückholen, untergraben aber auch die Idee, dass eine Blockchain einmal festgeschriebene Transaktionen nicht einfach verändert. Kritiker sagen schon länger, dass solche Eingriffe die Verlässlichkeit des Ledgers unter Druck setzen.
Cronos ist mit maximal 100 Validatoren relativ klein, sodass ein Stopp und Neustart schneller koordiniert werden können. Genau das machte die Rückabwicklung möglich, unterstreicht aber auch, dass die Finalität im Netzwerk in einer Notsituation von einem Konsens zwischen den Validatoren abhängt.
Auch bei anderen DeFi-Angriffen zeigt sich, wie schnell ein Protokoll nach einem Exploit eingreifen kann. So wurde Bonzo Lend auf Hedera getroffen, nachdem ein Oracle-Fehler den Preis der Sicherheiten aus dem Ruder laufen ließ, woraufhin der Schaden auf mehr als $9 Millionen (€7,7 Millionen) anstieg.
