AnswersPublished32 sources
Exploit Tectonicu: nafouknutá cena tokenu TONIC odčerpala likviditu z DeFi na Cronosu
Útočník podle analýz manipuloval cenový údaj málo likvidního tokenu TONIC a následně použil uměle nafouknutou hodnotu jako zástavu k půjčení likvidnějších aktiv. Validátoři sítě Cronos 30.
PublikovalUpraveno pomocí GPT-5.6 LunaObrázky vytvořeny pomocí GPT Image 1.5
Research answer
Key takeaways
- Útočník podle analýz manipuloval cenový údaj málo likvidního tokenu TONIC a následně použil uměle nafouknutou hodnotu jako zástavu k půjčení likvidnějších aktiv.
- Validátoři sítě Cronos 30. srpna 2026 zastavili tvorbu bloků.
- Crypto.com uvedla, že její hlavní aplikace a burza zasaženy nebyly. Případ ale odhalil rizika spojená s přijímáním málo likvidních tokenů jako zástavy bez dostatečné ochrany cenových orákul, limitů půjček a nouzových...
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the Cronos blockchain’s $75 million Tectonic lending-protocol exploit—including how the attacker manipulated the thinly tra. Article summary: The incident appears to have been a collateral-price manipulation, not a breach of Crypto.com itself: an attacker inflated the oracle value of Tectonic’s illiquid TONIC token, borrowed real assets against that artificial. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Incident Tectonicu nebyl podle dostupných zpráv napadením burzy Crypto.com ani její spotřebitelské aplikace. Šlo o exploit v decentralizovaném úvěrovém protokolu, který využil problém s oceněním zástavy: útočník zvýšil hlášenou cenu málo obchodovaného governance tokenu TONIC, vložil jej jako zdánlivě hodnotnější zástavu a proti ní si půjčil likvidní aktiva z protokolu. Předběžné odhady hovořily o 66 až 75 milionech dolarů, zatímco jedna on-chain analýza dospěla až k částce 119,5 milionu dolarů. Tectonic v době zveřejnění nepotvrdil konečnou výši ztráty. 2
9
11
26
Jak exploit Tectonicu fungoval?
Útok využil propojení mezi tržní cenou tokenu a jeho schopností sloužit jako zástava. Úvěrový protokol používá cenové orákulum — mechanismus, který chytrému kontraktu poskytuje údaj o aktuální hodnotě aktiva. Podle této hodnoty následně určuje, kolik si uživatel může půjčit v jiných tokenech.
Podle analýz transakcí útočník během přibližně 20 minut zvýšil cenu TONIC zhruba stonásobně. Jeho držba tak v systému vypadala mnohem hodnotnější, než jakou měla v běžně fungujícím trhu. Nafouknutou zástavu pak využil k půjčení likvidnějších aktiv, jejichž hodnota nebyla závislá na manipulovaném tokenu. Jde o známý vzorec v DeFi: ovlivnit cenu v mělkém trhu, použít falešné ocenění jako zástavu a vybrat skutečnou likviditu. 8
18
26
Přesné pořadí transakcí i konečné účetnictví zůstávaly předmětem vyšetřování. Uváděné částky proto představují odhady odčerpaných nebo ohrožených prostředků, nikoli potvrzenou konečnou ztrátu vkladatelů. 2
11
17
Proč hrála roli likvidita TONIC a cenové orákulum
Takzvaný kolaterální faktor určuje, jak velkou část hodnoty aktiva lze použít k půjčce. Ve zveřejněných parametrech money marketu Tectonicu měl TONIC kolaterální faktor 20 %, likvidační penalizaci 10 %, close factor 50 % a limit dodávek 50 bilionů tokenů TONIC. Tabulka přitom u TONIC neuváděla limit půjček. 25
Kolaterální faktor 20 % běžně omezuje finanční páku. Neřeší ale zásadnější problém: pokud protokol přijme zmanipulovanou cenu, může být hodnota zástavy nadhodnocena ještě před uplatněním tohoto faktoru. Token, který má v reálném trhu jen malou hodnotu, tak může v rozhraní úvěrového protokolu náhle vypadat jako zástava pro mnohem větší půjčku.
Riziko zástavy proto nespočívá pouze v kódu chytrého kontraktu. Protokoly musí zohlednit také hloubku trhu, způsob sestavení cenového feedu, limity dodávek a půjček pro jednotlivá aktiva, podmínky likvidace a mechanismy, které při neobvyklém pohybu ceny automaticky pozastaví další půjčování.
Jak na tom byl Tectonic před útokem
Podle údajů citovaných serverem The Block měl Tectonic před incidentem celkovou hodnotu uzamčených prostředků přibližně 121,7 milionu dolarů a aktivní půjčky v objemu zhruba 82,7 milionu dolarů. 26
Tato čísla vysvětlují, proč mohl odtok v řádu desítek milionů dolarů ohrozit věřitele, i když část prostředků zůstala na síti Cronos. Expozice protokolu nespočívala jen v útočníkově pozici v TONICu. Aktiva si půjčovali i další uživatelé ze společných fondů, takže vkladatelé byli závislí na hodnotě zbývajících zástav a na tom, zda bude možné prostředky získat zpět.
Proč Cronos zastavil celou síť
Po odhalení exploitu validátoři sítě Cronos zastavili tvorbu bloků. Podle zpráv tento zásah zabránil útočníkovi dokončit další převody a transakce přes blockchainové mosty. Na Ethereum se dostalo jen přibližně 6 milionů dolarů, zatímco kolem 60 milionů dolarů nebo více zůstalo na síti Cronos. 3
4
5
10
14
To, že prostředky zůstaly na síti, ale neznamená, že byly automaticky získány zpět. O jejich osudu rozhoduje proces obnovení sítě, stav zasažených adres, možnost aktiva po restartu přesunout či zmrazit a následné kroky protokolu i dalších odpovědných stran.
Celoplošné zastavení sítě navíc přináší vlastní provozní riziko. V krizové situaci může pomoci uchovat prostředky na blockchainu, současně však přeruší běžný provoz všech uživatelů a ukáže, jak důležitá je koordinace validátorů a připravenost na obnovu sítě. 7
Byl napaden Crypto.com?
Dostupné zprávy popisovaly Tectonic jako samostatně provozovaný DeFi protokol nasazený na blockchainu Cronos, který je spojený s Crypto.com. Generální ředitel Crypto.com uvedl, že hlavní aplikace a burza společnosti zasaženy nebyly. Žádný z poskytnutých zdrojů nepotvrdil kompromitaci zákaznických zůstatků na těchto platformách. 3
6
9
26
Přímý dopad se tak soustředil na Tectonic a DeFi aplikace na síti Cronos. Širší důsledky zahrnovaly výpadek blockchainu, nejistotu pro věřitele i dlužníky a reputační tlak na celý ekosystém Cronosu.
Podobnost s incidenty Moonwell a Mango Markets
Ekonomický princip připomíná incident protokolu Moonwell z 27. srpna 2026, při němž hrál roli token MAMO. Vlastní analýza Moonwellu popsala kombinaci manipulace ceny MAMO v orákulu a nafouknutí účetní hodnoty zástavy. Další zprávy uvedly, že útočník využil zvýšenou hodnotu tokenu k půjčení likvidních aktiv z trhů Moonwellu na síti Base. 27
30
31
Širší paralelu lze najít také u Mango Markets z roku 2022. Útočník tehdy zvýšil cenu málo obchodovaného tokenu MNGO, takže zmanipulované ocenění proniklo do výpočtů rizika platformy. Proti nadhodnocené pozici si následně půjčil další aktiva. 36
47
Technické provedení i bezpečnostní opatření se mezi těmito případy lišila. Společná lekce je užší, ale zásadní: úvěrový systém lze vyčerpat, pokud manipulovatelná tržní cena určuje, kolik skutečné likvidity může dlužník získat.
Co zatím zůstává nejasné
V posledních dostupných zprávách nebylo rozhodnuto několik klíčových otázek:
- Konečná výše ztráty ani částka, kterou bude možné získat zpět, nebyla potvrzena. Odhady se pohybovaly přibližně mezi 66 a 75 miliony dolarů, jedna analýza uváděla 119,5 milionu dolarů.
2
11
26
- Cronos nezveřejnil definitivní postup restartu ani potvrzený harmonogram obnovení provozu.
- Stav adres spojených s exploitem a případná opatření, jako jejich zablokování či snaha o obnovu prostředků, se nadále vyvíjely.
10
- Žádný z poskytnutých zdrojů neuváděl, že by vkladatelé Tectonicu měli zaručeno odškodnění.
Kolik věřitelé nakonec získají, bude záviset na prostředcích stále znehybněných na síti Cronos, na aktivech převedených jinam, na následných krocích protokolu a na tom, zda případný schodek pokryje správa protokolu, rezervy, pojištění, přidružené subjekty nebo jiná strana. Dokud tato rozhodnutí nebudou zdokumentována, nelze „uvízlé“ prostředky označovat za vrácené.
Co případ vypovídá o bezpečnosti DeFi v roce 2026
Incident Tectonicu přišel v roce, který se vyznačoval vysokým počtem bezpečnostních incidentů v kryptoměnách. CoinGecko evidovalo do začátku srpna 2026 celkem 164 hacků a exploitů, což bylo více než v kterémkoli předchozím celém roce jeho sledování. Server The Defiant samostatně informoval, že druhé čtvrtletí dosáhlo rekordního počtu exploitů v DeFi, přičemž jednotlivé trackery se v přesných odhadech lišily. 39
43
Nejde jen o to, že na protokoly útočí více lidí. Tectonic a Moonwell ukazují, že trh může selhat i bez klasické chyby v kódu. Bezpečnostní audity proto musí ověřovat také to, zda:
- málo obchodované aktivum vůbec může sloužit jako zástava;
- cenové orákulum odolá krátkodobé manipulaci;
- limity dodávek a půjček odpovídají skutečné likviditě trhu;
- likvidační mechanismy dokážou fungovat při prudkém propadu ceny; a
- automatické nouzové pozastavení dokáže zastavit půjčování dříve, než dojde společná likvidita.
Pro uživatele z toho plyne praktické varování: token může v aplikaci úvěrového protokolu působit hodnotně, přestože na trhu není dost likvidity, která by takové ocenění skutečně podpořila. Protokoly zase musí počítat s tím, že parametry zástavy, konstrukce cenového orákula a nouzové kontroly nejsou jen doplňková nastavení po auditu chytrého kontraktu. Jsou součástí samotné bezpečnostní hranice systému.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Exploit Tectonicu: nafouknutá cena tokenu TONIC odčerpala likviditu z DeFi na Cronosu"?
Útočník podle analýz manipuloval cenový údaj málo likvidního tokenu TONIC a následně použil uměle nafouknutou hodnotu jako zástavu k půjčení likvidnějších aktiv.
What are the key points to validate first?
Útočník podle analýz manipuloval cenový údaj málo likvidního tokenu TONIC a následně použil uměle nafouknutou hodnotu jako zástavu k půjčení likvidnějších aktiv. Validátoři sítě Cronos 30. srpna 2026 zastavili tvorbu bloků.
What should I do next in practice?
Crypto.com uvedla, že její hlavní aplikace a burza zasaženy nebyly. Případ ale odhalil rizika spojená s přijímáním málo likvidních tokenů jako zástavy bez dostatečné ochrany cenových orákul, limitů půjček a nouzových...
Sources
cryptobriefing.comCronos network halts after $75M Tectonic exploit drains lending ...