Cronos(CRO)、7,500万ドルのTectonicハッキングでチェーン停止・巻き戻し

7,500万ドルのTONIC不正引き出し、Cronosを停止させる

Crypto.comが2021年に立ち上げたブロックチェーン、Cronos(CRO)が日曜日、ブロック生成を停止した。攻撃者がネットワーク最大のレンディングdappであるTectonicを標的にし、オンチェーンリサーチャーの試算では約7,500万ドル相当の資産が不正に流出したのだ。手口は周知のパターンそのものだった。Tectonicは自己のガバナンストークンTONICを、流通量が乏しいまま20%の担保因子で担保として受け入れていた。つまりプロトコルが認識する価値100ドルにつき約20ドルの借入が可能だった。オンチェーンリサーチャーのWeilin Li氏によれば、攻撃者は約20分でTONICの価格をおよそ100倍に引き上げ、人為的に膨らませたトークンを預け入れて実資産を借り出した。Mango Markets型のオラクル操作であり、捏造した価格で本物の担保を引き出す手口だ。バリデーターがブロック生成を止めてネットワーク全体を凍結するまでに、盗まれた資産でウォレットアドレスに到達したのはEthereum上でわずか約600万ドルだった。セキュリティ企業のPeckShieldは当初、被害額を約7,400万ドルと試算。Tectonicの公式X投稿は調査期間中、ユーザーにプロトコル上の全活動を停止するよう呼びかけた。その後、バリデーターはチェーンを不正発生直前の状態まで巻き戻してブロック生成を再開した。引き出しの途中で窃取を食い止めるため、台帳履歴の一部を消去した形だ。凍結の間、Cronosのレンディング市場ではユーザーの預け入れ資産が数時間にわたり引き出せない状態が続いた。CronosもTectonicも最終損失額の確定も詳細な原因の公表もしていない。市場の反応は迅速だった。CROは過去24時間で6%下落し、資金はチェーン上のDeFi 2.0市場から流出。Tectonic単体のTVL(総価値ロック)は8月26日時点で約1億2,170万ドルと、Cronos全体の預け入れ額の半分近くを占めていたが、月曜までに約300万ドルまで崩れた。Tectonicの突出ぶりは出自を物語る。プロトコルのライトペーパーは、後にCronos Labsと改名したParticle Bをインキュベーターとして明記している。

Crypto.comとTectonicの深い結びつき

今回の不正は、長年にわたり小口投資家をTectonicへ誘導してきたCrypto.comにとってとりわけ痛い。取引所は自社のプロダクトページでTONICを上場・購入促進し、20以上の法定通貨での取扱いを告知。TONIC建てでのVisaカード決済を8,000万店で使えると宣伝していた。Crypto.comのDeFi WalletはTONICのステーキングをワンクリックで、ロックアップ期間なし、年率最大100%のリターンとうたい込んで販売し、Earnプログラムは複利の自動複利化を段階的に解説するガイドまで公開していた。これらの販促により、Crypto.comはプロトコル最大級の小口資金の入り口となった。そもそも操作を可能にしたのはオラクル構成だ。Tectonicの開発者ドキュメントでは、TONICのドル建て価格のデータソースはVVS FinanceとCrypto.com自身のわずか2つしかなく、取引が渋滞したときの独立した基準価格が存在しなかった。つながりはマーケティングにとどまらない。Crypto.comの5億ドルの投資部門は、TectonicのインキュベーターであるCronos Labsの戦略パートナーだ。CEOのKris Marszalek氏は、自社アプリと取引所は侵害されておらず、セキュリティチームが調査を支援していると述べた。だが今回の一件は、Cronosチェーンのガバナンスとネットワークのコンセンサスメカニズムをめぐる信頼性の問題に追い打ちをかける。Cronosはパーミッションレスを掲げながら、公式ドキュメントでは33のバリデーターが招待制で参加し、応募は受け付けていないと明記している。同じ多数支配の仕組みは、2025年3月にも使われた。2021年に永久焼却した700億CROの再鋳造が、他の大口保有者ほぼ全員の反対を押し切って実行されたのだ。2022年2月以前、CROはCrypto.com Coinの名で取引されており、オンチェーン分析によればCronos各プロトコルのTVLは2022年から92%落ち込んでいる。

損失額の確定はオンチェーン検証待ち

COINOTAGの見立てでは、この一連の流れはオラクルの脆弱性が権力の集中と出会った結果だ。同じ週、Base上のMoonwellも流通量の少ないMAMO担保への類似操作で推定870万ドルを失い、Pendleの薄い市場での3%の値動きはMorphoで約3,600万ドルの清算を誘発した。薄利きトークンの担保は、セクター横断で繰り返される攻撃面になりつつある。Cronosの事例を分けたのは対処の方法だ。招待制バリデーターセットだけが実行できる台帳全巻き戻しだ。詳細は当社のCronosネットワーク停止レポートにまとめた。運営側はいまだ損失の確定も根本原因の事後検証も公表しておらず、7,400万ドルという試算はオンチェーンの証拠と公式インシデントレポートが出るまで暫定的なままだ。アルトコインであるCROはすでにTrump Mediaの1億9,000万ドルの暗号資産損失で上値を抑えられており、いま信頼こそが最大の制約となっている。