Tectonicで発生した今回の事案は、Crypto.comの取引所や一般ユーザー向けアプリへの侵入ではありません。Cronosブロックチェーン上で独立運営されるDeFi融資プロトコルを舞台に、価格評価の仕組みが悪用されたエクスプロイトです。

攻撃者は、薄商いのガバナンストークンTONICの報告価格を短時間で大きく押し上げ、その価格を前提にTONICを担保として預け入れたうえで、流動性の高い別の暗号資産を借り出したとみられています。流出額については、約6600万ドルから7500万ドルという初期推計が広く報じられた一方、オンチェーン分析の一つでは1億1950万ドルに達する可能性も示されました。Tectonicは報道時点で最終的な損失額を確定していません。291126

Tectonicでは何が起きたのか

DeFiの融資プロトコルでは、ユーザーが預けた担保の価値を価格オラクルで算定し、その評価額をもとに借入可能額を決めます。つまり、担保の価格が実態より高く認識されれば、借り手は本来より多くの資産を引き出せます。

今回のTectonicでは、オンチェーン分析に基づく報道によると、攻撃者が約20分の間にTONICの価格をおよそ100倍に操作しました。価格が人工的に膨らんだことで、攻撃者のTONIC保有分は、より流動性の高い資産を借りるのに十分な担保であるかのように扱われました。81826

典型的な価格オラクル操作の流れは、次のとおりです。

1. 市場の取引量が少なく、価格を動かしやすいトークンを取得する。
2. そのトークンの市場価格や価格フィードを急上昇させる。
3. 上昇後の価格でトークンを担保としてプロトコルに預ける。
4. 実際には価値を支えられない規模の、流動性の高い資産を借り出す。

正確な取引順序や最終的な資金計算は、報道時点でも調査中でした。そのため、報じられている金額は流出または危険にさらされた資産の推計であり、預金者が最終的に被る確定損失と同一ではありません。21117

TONICの流動性と価格オラクルが重要だった理由

融資プロトコルには、担保価値の何割まで借りられるかを示す「担保係数（Collateral Factor）」があります。Tectonicが公開していたマネーマーケットのパラメーターでは、TONICについて担保係数20％、清算ペナルティー10％、クローズ係数50％、供給上限50兆TONICが示されていました。一方、TONICの借入上限は掲載されていませんでした。25

担保係数20％なら、通常は借入のレバレッジを抑えられます。しかし、プロトコルが参照する価格そのものが大きく操作されれば、係数を適用する前の担保価値がすでに過大評価されます。

たとえば、実際の市場では少額の資産にすぎないトークンでも、オラクルが一時的な人工価格を参照すれば、より大きな融資を支えられるように見えてしまいます。今回の問題は、スマートコントラクトに典型的なコード上の欠陥があったかどうかだけではなく、価格フィードが市場の深さや売買規模を適切に反映できていたかにも関係します。

DeFiの融資市場では、次のようなリスク管理が重要になります。

• 取引量の少ない資産を担保として認めるべきか
• 価格オラクルが短期的な売買による操作に耐えられるか
• 供給上限と借入上限が実際の市場流動性に見合っているか
• 価格急落時にも清算が機能するか
• 異常な価格変動を検知して借入を自動停止できるか

攻撃前のTectonicの規模

The Blockが引用したデータによると、攻撃前のTectonicには約1億2170万ドルの預かり資産（TVL）があり、アクティブな融資残高は約8270万ドルでした。26

この規模を考えると、6000万〜7500万ドル規模の資産流出は、単なる一部市場の損失にとどまらず、融資プロトコル全体の貸し手に影響し得ます。攻撃者のTONICポジションだけが問題なのではありません。共有の融資プールから資産が引き出されるため、預金者は残された担保の価値と、回収可能な資金に依存することになります。

Cronosはなぜネットワークを停止したのか

Tectonicへの攻撃が検知された後、Cronosのバリデーターはネットワーク全体でブロック生成を停止しました。報道によれば、この対応によって攻撃者による追加の送金やブリッジ取引の完了が阻止されました。Ethereumに到達したのは約600万ドルにとどまり、約6000万ドル以上の関連資産はCronos上に残ったとされています。3451014

ただし、ネットワーク内に残った資産が、そのまま「回収済み」になったわけではありません。再稼働の手順、対象アドレスの扱い、再稼働後に資産を移動・凍結できるか、そしてTectonicや関係者がどのように対応するかが、回収の成否を左右します。

また、チェーン全体の停止には別の運用リスクもあります。緊急時には資産の外部流出を抑えられる一方、すべてのユーザーの通常取引を中断させます。今回の対応は、バリデーター間の連携や復旧手順にネットワークがどの程度依存しているかも示しました。7

Crypto.comもハッキングされたのか

利用可能な報道では、TectonicはCrypto.comと関連するCronos上に展開された、独立運営のDeFiプロトコルと説明されています。Crypto.comの最高経営責任者は、同社の主要アプリと取引所は影響を受けていないと述べました。提供された情報の中に、これらのサービスの顧客残高が侵害されたことを確認する情報はありません。36926

したがって、直接的な影響はTectonicとCronos上のDeFiに集中しています。一方で、Cronosネットワークの停止、貸し手と借り手の不確実性、そしてCronosエコシステム全体への信頼低下という、運用面・評判面の影響は残ります。

MoonwellやMango Marketsとの共通点

今回の経済的な攻撃パターンは、2026年8月に発生したMoonwellのMAMO関連事案と似ています。Moonwellの事後検証では、MAMOの価格オラクル操作と担保計算上の価値膨張が組み合わされていたと説明されています。別の報道では、攻撃者が膨らんだトークン価値を利用し、MoonwellのBase市場から流動性の高い資産を借り出したとされています。273031

また、2022年のMango Markets事案とも、より広い意味で共通点があります。Mango Marketsでは、取引量の少ないMNGOの価格を押し上げ、その評価額をプラットフォームのリスク計算に反映させたうえで、膨らんだポジションを担保に他の資産を借り出しました。3647

もっとも、各プロトコルの仕組みや安全対策は異なるため、技術的に同一の攻撃とみなすべきではありません。共通する教訓は、操作しやすい市場価格が借入可能な実資産の量を決めると、薄い市場を動かすだけで融資市場の流動性が枯渇し得るという点です。

返金やネットワーク再開をめぐる未解決点

最新の報道時点では、いくつかの重要な点が確定していません。

• 最終的な損失額や回収可能額は確定していません。推計は約6600万〜7500万ドルから、1億1950万ドルまで幅があります。21126
• Cronosは、ネットワークの再開手順や確定した再開時期を公表していませんでした。11
• エクスプロイトに関連するアドレスの状態、ブラックリスト措置、資産回収策は進行中でした。10
• Tectonicの預金者に返金が保証されたことを示す情報はありません。

最終的に貸し手がどれだけ回収できるかは、Cronos上で動かせない状態にある資産、すでにブリッジされた資産、Tectonicの事後対応、そしてガバナンス、準備金、保険、関係企業などが不足分を補填するかどうかに左右されます。

そのため、ネットワーク上に「閉じ込められている」資産を、現時点で「返還された資産」と表現することはできません。

2026年のDeFiセキュリティに何を示すのか

Tectonicの事案は、暗号資産分野でセキュリティ incidents が高頻度で発生している2026年に起きました。CoinGeckoは、8月上旬までに2026年の暗号資産ハック・エクスプロイトを164件集計しており、同社のデータセットにおける過去の通年記録をすでに上回ったとしています。The Defiantも、2026年第2四半期について、DeFiのエクスプロイト件数が過去最高水準に達したと報じました。ただし、集計機関によって件数や損失額は異なります。3943

重要なのは、攻撃件数が増えたという事実だけではありません。TectonicやMoonwellの事案は、通常のコードバグが中心でなくても、価格評価と担保管理の設計次第で市場が破綻し得ることを示しています。

監査や安全性評価では、スマートコントラクトのコードだけでなく、次の点も検証する必要があります。

• 薄商いのトークンを担保として認める合理性があるか
• オラクルが短時間の価格操作に耐えられるか
• 供給上限・借入上限が実際の市場流動性に合っているか
• トークン価格が急落した際に清算できるか
• 共有プールの資産が枯渇する前に借入を停止できるか

利用者にとっての実務的なリスクは、融資画面上では価値があるように見えるトークンでも、その価格を支えるだけの現実の市場流動性が存在しない可能性があることです。プロトコル側にとっては、担保パラメーター、オラクルの設計、上限設定、緊急停止機能はいずれも、監査後に追加する補助的な設定ではなく、セキュリティ境界そのものです。

Tectonicで発生した今回の事案は、Crypto.comの取引所や一般ユーザー向けアプリへの侵入ではありません。Cronosブロックチェーン上で独立運営されるDeFi融資プロトコルを舞台に、価格評価の仕組みが悪用されたエクスプロイトです。

攻撃者は、薄商いのガバナンストークンTONICの報告価格を短時間で大きく押し上げ、その価格を前提にTONICを担保として預け入れたうえで、流動性の高い別の暗号資産を借り出したとみられています。流出額については、約6600万ドルから7500万ドルという初期推計が広く報じられた一方、オンチェーン分析の一つでは1億1950万ドルに達する可能性も示されました。Tectonicは報道時点で最終的な損失額を確定していません。291126

Tectonicでは何が起きたのか

DeFiの融資プロトコルでは、ユーザーが預けた担保の価値を価格オラクルで算定し、その評価額をもとに借入可能額を決めます。つまり、担保の価格が実態より高く認識されれば、借り手は本来より多くの資産を引き出せます。

今回のTectonicでは、オンチェーン分析に基づく報道によると、攻撃者が約20分の間にTONICの価格をおよそ100倍に操作しました。価格が人工的に膨らんだことで、攻撃者のTONIC保有分は、より流動性の高い資産を借りるのに十分な担保であるかのように扱われました。81826

典型的な価格オラクル操作の流れは、次のとおりです。

1. 市場の取引量が少なく、価格を動かしやすいトークンを取得する。
2. そのトークンの市場価格や価格フィードを急上昇させる。
3. 上昇後の価格でトークンを担保としてプロトコルに預ける。
4. 実際には価値を支えられない規模の、流動性の高い資産を借り出す。

正確な取引順序や最終的な資金計算は、報道時点でも調査中でした。そのため、報じられている金額は流出または危険にさらされた資産の推計であり、預金者が最終的に被る確定損失と同一ではありません。21117

TONICの流動性と価格オラクルが重要だった理由

融資プロトコルには、担保価値の何割まで借りられるかを示す「担保係数（Collateral Factor）」があります。Tectonicが公開していたマネーマーケットのパラメーターでは、TONICについて担保係数20％、清算ペナルティー10％、クローズ係数50％、供給上限50兆TONICが示されていました。一方、TONICの借入上限は掲載されていませんでした。25

担保係数20％なら、通常は借入のレバレッジを抑えられます。しかし、プロトコルが参照する価格そのものが大きく操作されれば、係数を適用する前の担保価値がすでに過大評価されます。

たとえば、実際の市場では少額の資産にすぎないトークンでも、オラクルが一時的な人工価格を参照すれば、より大きな融資を支えられるように見えてしまいます。今回の問題は、スマートコントラクトに典型的なコード上の欠陥があったかどうかだけではなく、価格フィードが市場の深さや売買規模を適切に反映できていたかにも関係します。

DeFiの融資市場では、次のようなリスク管理が重要になります。

• 取引量の少ない資産を担保として認めるべきか
• 価格オラクルが短期的な売買による操作に耐えられるか
• 供給上限と借入上限が実際の市場流動性に見合っているか
• 価格急落時にも清算が機能するか
• 異常な価格変動を検知して借入を自動停止できるか

攻撃前のTectonicの規模

The Blockが引用したデータによると、攻撃前のTectonicには約1億2170万ドルの預かり資産（TVL）があり、アクティブな融資残高は約8270万ドルでした。26

この規模を考えると、6000万〜7500万ドル規模の資産流出は、単なる一部市場の損失にとどまらず、融資プロトコル全体の貸し手に影響し得ます。攻撃者のTONICポジションだけが問題なのではありません。共有の融資プールから資産が引き出されるため、預金者は残された担保の価値と、回収可能な資金に依存することになります。

Cronosはなぜネットワークを停止したのか

Tectonicへの攻撃が検知された後、Cronosのバリデーターはネットワーク全体でブロック生成を停止しました。報道によれば、この対応によって攻撃者による追加の送金やブリッジ取引の完了が阻止されました。Ethereumに到達したのは約600万ドルにとどまり、約6000万ドル以上の関連資産はCronos上に残ったとされています。3451014

ただし、ネットワーク内に残った資産が、そのまま「回収済み」になったわけではありません。再稼働の手順、対象アドレスの扱い、再稼働後に資産を移動・凍結できるか、そしてTectonicや関係者がどのように対応するかが、回収の成否を左右します。

また、チェーン全体の停止には別の運用リスクもあります。緊急時には資産の外部流出を抑えられる一方、すべてのユーザーの通常取引を中断させます。今回の対応は、バリデーター間の連携や復旧手順にネットワークがどの程度依存しているかも示しました。7

Crypto.comもハッキングされたのか

利用可能な報道では、TectonicはCrypto.comと関連するCronos上に展開された、独立運営のDeFiプロトコルと説明されています。Crypto.comの最高経営責任者は、同社の主要アプリと取引所は影響を受けていないと述べました。提供された情報の中に、これらのサービスの顧客残高が侵害されたことを確認する情報はありません。36926

したがって、直接的な影響はTectonicとCronos上のDeFiに集中しています。一方で、Cronosネットワークの停止、貸し手と借り手の不確実性、そしてCronosエコシステム全体への信頼低下という、運用面・評判面の影響は残ります。

MoonwellやMango Marketsとの共通点

今回の経済的な攻撃パターンは、2026年8月に発生したMoonwellのMAMO関連事案と似ています。Moonwellの事後検証では、MAMOの価格オラクル操作と担保計算上の価値膨張が組み合わされていたと説明されています。別の報道では、攻撃者が膨らんだトークン価値を利用し、MoonwellのBase市場から流動性の高い資産を借り出したとされています。273031

また、2022年のMango Markets事案とも、より広い意味で共通点があります。Mango Marketsでは、取引量の少ないMNGOの価格を押し上げ、その評価額をプラットフォームのリスク計算に反映させたうえで、膨らんだポジションを担保に他の資産を借り出しました。3647

もっとも、各プロトコルの仕組みや安全対策は異なるため、技術的に同一の攻撃とみなすべきではありません。共通する教訓は、操作しやすい市場価格が借入可能な実資産の量を決めると、薄い市場を動かすだけで融資市場の流動性が枯渇し得るという点です。

返金やネットワーク再開をめぐる未解決点

最新の報道時点では、いくつかの重要な点が確定していません。

• 最終的な損失額や回収可能額は確定していません。推計は約6600万〜7500万ドルから、1億1950万ドルまで幅があります。21126
• Cronosは、ネットワークの再開手順や確定した再開時期を公表していませんでした。11
• エクスプロイトに関連するアドレスの状態、ブラックリスト措置、資産回収策は進行中でした。10
• Tectonicの預金者に返金が保証されたことを示す情報はありません。

最終的に貸し手がどれだけ回収できるかは、Cronos上で動かせない状態にある資産、すでにブリッジされた資産、Tectonicの事後対応、そしてガバナンス、準備金、保険、関係企業などが不足分を補填するかどうかに左右されます。

そのため、ネットワーク上に「閉じ込められている」資産を、現時点で「返還された資産」と表現することはできません。

2026年のDeFiセキュリティに何を示すのか

Tectonicの事案は、暗号資産分野でセキュリティ incidents が高頻度で発生している2026年に起きました。CoinGeckoは、8月上旬までに2026年の暗号資産ハック・エクスプロイトを164件集計しており、同社のデータセットにおける過去の通年記録をすでに上回ったとしています。The Defiantも、2026年第2四半期について、DeFiのエクスプロイト件数が過去最高水準に達したと報じました。ただし、集計機関によって件数や損失額は異なります。3943

重要なのは、攻撃件数が増えたという事実だけではありません。TectonicやMoonwellの事案は、通常のコードバグが中心でなくても、価格評価と担保管理の設計次第で市場が破綻し得ることを示しています。

監査や安全性評価では、スマートコントラクトのコードだけでなく、次の点も検証する必要があります。

• 薄商いのトークンを担保として認める合理性があるか
• オラクルが短時間の価格操作に耐えられるか
• 供給上限・借入上限が実際の市場流動性に合っているか
• トークン価格が急落した際に清算できるか
• 共有プールの資産が枯渇する前に借入を停止できるか

利用者にとっての実務的なリスクは、融資画面上では価値があるように見えるトークンでも、その価格を支えるだけの現実の市場流動性が存在しない可能性があることです。プロトコル側にとっては、担保パラメーター、オラクルの設計、上限設定、緊急停止機能はいずれも、監査後に追加する補助的な設定ではなく、セキュリティ境界そのものです。