Cronos(CRO)、7,500万ドルのTectonicハッキングを受けネットワーク停止

Cronos、ブロック生成を停止

Crypto.com取引所グループが開発してきたレイヤー1ブロックチェーンCronos(CRO)は8月30日、チェーン上で最大規模の分散型貸付プロトコルTectonicにおけるハッキング(エクスプロイト)を確認し、ブロック生成を停止した。CronosチームはXへの投稿で「Tectonicにエクスプロイトが存在する」ことを特定したと説明し、状況を評価している間にネットワークを停止したことを明かした。ユーザーに直接緊急シャットダウンを告知し、調査の進展に合わせて検証済みの最新情報を提供すると約束している。ユーザーがデジタル資産を預けて変動利子を得たり、担保を差し入れて他の資産を借りたりするマネーマーケット型のdAppであるTectonicも、1時間以内に事案を認め、独自のユーザーへの警告を発した。チームが安全を確認するまでプロトコルと一切相互作用しないよう呼びかけている。TectonicはCrypto.comの製品ではなく独立したプロトコルとして運用されているが、チェーンの中核的な信用市場であるがゆえに、ここへの侵害はCronosユーザーにとってシステム全体の問題となる。ネットワーク停止は、稼働中のブロックチェーンが取り得る最も強硬な手段だ。ブロック生成を止めれば、送金・入金・出金・あらゆるスマートコントラクトの呼び出しがバリデーターがチェーンを再起動するまで凍結される。ユーザーは資金にアクセスできなくなる一方で、攻撃者の出口も奪うことになる。プロトコル上のすべてのポジション、つまり利息が発生している預け入れ資産も、担保で担保された借入も、チェーンが再開されるまで事実上、停止前の状態で凍りつく。オンチェーンの集計データによれば、Cronosネットワーク最大の貸付市場であるTectonicは事発前に総価値ロック(TVL)約1億2,170万ドル、未償還ローン約8,270万ドルを抱えており、9桁規模のユーザー資金が現時点で動けなくなっている。そのうちどれだけが守られるかは、バリデーターがブロック署名を止める前に攻撃者がどれだけ資金を移せたかにかかっている。

364.6兆TONIC、わずか20分の吊り上げ

オンチェーンの調査者たちは攻撃の手口をすでに組み立てており、その構造はコードのバグではなく、意図的な価格操作を指している。攻撃者はTectonicのガバナンストークンTONIC、取引量の薄いトークンだ——を標的にし、約20分の薄商材の中で価格をおよそ100倍に引き上げた。TectonicはTONICに20%の担保係数を適用している。これは資産の表明価値のうち借入人がどれだけ引き出せるかを示す比率だ。この結果、攻撃者の約364.6兆TONICのポジションは、約3億7,500万ドルの適格担保として扱われ、実際の価値がその一部にすぎない資金を担保に、他の資産を約7,500万ドル借り出すことができた。この種の攻撃は、資産の「表示価格」と実際の流動性との間の隙間をつく。プロトコルは吊り上がった市場価格で担保を評価するが、市場自体はその水準での売却を到底吸収できない。フローを公の場で追跡したオンチェーンリサーチャーのWeilin Liは、当初損失を約6,600万ドルと見積もったが、その後攻撃者が管理するもうひとつの約800万ドルを抱えたウォレットアドレスを特定し、推計を約7,500万ドルに引き上げた。ただし、この数字はTectonicにもCronosにも確認されていない。Liは、攻撃者が薄商材トークンの操作された価格を使って膨大な「借りられる担保」を捏造した2022年のMango Marketsハッキングに直接言及しており、両者の類似は見逃しようもない。現時点では、予防より封じ込めのほうがうまく機能したようだ。チェーン停止までに盗まれた資金のうちEthereumへブリッジされたのは約600万ドルにとどまり、圧倒的多数の資産はいまだCronos上に閉じ込められている。Crypto.comの最高経営責任者(CEO)Kris Marszalekは事の影響について公に言及し、同社のアプリと取引所は影響を受けておらず、セキュリティチームが調査を支援していると述べた。Tectonicはまだ確定した損失額も根本原因の報告も公表しておらず、リサーチャーの推計が現時点で最も信頼できる公的な損害把握となっている。

停止は時間を稼ぐが、解決ではない

COINOTAGの読みでは、これは教科書どおりの薄流動性価格操作であり、チェーンのコンセンサスメカニズムそのものに手を入れる介入となった緊急停止は、治療ではなく時間を稼いだにすぎない。オンチェーン上の証拠はすでに根本原因を示している。流動性の乏しいガバナンストークンに20%の担保係数を認めたことで、わずか20分の価格吊り上げが約3億7,500万ドルの幻の担保を生み出したのだ。今後の対応は、Tectonicの事後検証(ポストモーテム)と、残りの資金が動かされる前に借入ポジションを解消できるかにかかっている。この事案が飛び込んだのは、信頼がすでに揺らいでいたエコシステムだ。Crypto.comは過去に、ユーザー資金を8日間凍結した事例があり、Trump Mediaは64.2億ドル規模のCRO財務計画を打ち切っている。より広いアルトコイン市場全体を見渡せば、教訓は明確だ。担保設計こそが本当のセキュリティの境界線であり、DeFi 2.0世代の貸付プロトコルの安全性は、最も薄い市場と同程度にしかならないということだ。