Експлойт Tectonic на $75 млн: як маніпуляція ціною TONIC спустошила DeFi у Cronos

Інцидент із Tectonic не описували як злам біржі чи споживчого застосунку Crypto.com. Йдеться про експлойт DeFi-кредитування, у центрі якого була оцінка застави: зловмисник підняв reported-ціну малоліквідного токена управління Tectonic — TONIC, вніс токени, що здавалися дорожчими, а потім позичив у протоколу ліквідніші активи. Попередні оцінки виведених коштів становили приблизно $66–75 млн, хоча один аналіз блокчейна оцінив суму в $119,5 млн. На момент публікації Tectonic не підтвердила остаточний розмір збитків. 291126

Як відбувся експлойт Tectonic?

Атака використала зв’язок між ринковою ціною токена та його позиковою спроможністю. Кредитний протокол застосовує ціновий оракул — механізм, який передає смартконтракту дані про поточну вартість активу. На основі цієї оцінки система визначає, скільки користувач може позичити під внесену заставу.

За даними, наведеними в ончейн-аналізі, зловмисник приблизно у 100 разів підняв ціну TONIC приблизно за 20 хвилин. Через завищену оцінку його запаси TONIC почали виглядати достатніми для забезпечення позик у значно ліквідніших активах. Схема відповідає типовій для DeFi послідовності: маніпулювати ціною на неглибокому ринку, використати хибну оцінку як заставу та вивести активи, вартість яких не залежить від цього маніпульованого токена. 81826

Точна послідовність транзакцій і фінальний баланс ще потребували розслідування. Тому широко цитовані суми в доларах слід сприймати як оцінки виведених або поставлених під загрозу коштів, а не як остаточно підтверджені втрати вкладників. 21117

Чому мали значення ліквідність TONIC і ціновий оракул

Коефіцієнт застави обмежує суму, яку користувач може позичити під конкретний актив. Опубліковані параметри грошового ринку Tectonic вказували для TONIC коефіцієнт застави 20%, штраф за ліквідацію 10%, коефіцієнт закриття позиції 50% і ліміт пропозиції у 50 трлн TONIC. У таблиці також не було зазначено ліміту позик у TONIC. 25

Коефіцієнт застави 20% зазвичай зменшує можливий рівень кредитного плеча, але не вирішує фундаментальну проблему: якщо протокол приймає маніпульовану ціну, вартість застави в блокчейні може бути завищена ще до застосування цього коефіцієнта. Токен, який у нормальному ринку коштує небагато, може почати виглядати як забезпечення значно більшої позики, якщо оракул відображає штучно створену ціну.

Отже, ризик застави — це не лише питання коду смартконтракту. Кредитні ринки також мають враховувати глибину торгів, джерело та методику формування цінових потоків, індивідуальні ліміти пропозиції й позик для активів, умови ліквідації та механізми, здатні призупинити позики у разі аномального руху ціни.

У якому стані Tectonic був до атаки

За даними The Block із посиланням на DefiLlama, до інциденту в Tectonic було близько $121,7 млн загальної заблокованої вартості (TVL) і приблизно $82,7 млн активних позик. 26

Ці показники пояснюють, чому виведення коштів на десятки мільйонів доларів могло поставити під загрозу кредиторів, навіть якщо частина активів залишилася в мережі Cronos. Ризик протоколу не обмежувався позицією зловмисника в TONIC: користувачі позичали активи зі спільних пулів, тож вкладники залежали від вартості застави, що залишилася, і від можливості повернути заблоковані кошти.

Як Cronos зупинила переміщення коштів

Після виявлення експлойту валідатори Cronos зупинили виробництво блоків у всій мережі. За повідомленнями, це не дозволило зловмиснику завершити додаткові перекази та транзакції через мости. До Ethereum, за наявними оцінками, потрапило лише близько $6 млн, тоді як приблизно $60 млн або більше активів, пов’язаних з атакою, залишилися в Cronos. 3451014

Ця різниця має принципове значення. Кошти, що залишилися в мережі, можуть бути заблокованими, але це не означає, що їх уже повернули. Подальший результат залежить від процедури перезапуску Cronos, статусу адрес, пов’язаних з експлойтом, можливості переміщати чи заморожувати активи після відновлення мережі, а також від рішень протоколу та інших відповідальних сторін.

Зупинка всієї мережі створює й окремий операційний ризик. У надзвичайній ситуації вона може допомогти зберегти активи, однак одночасно перериває роботу для всіх користувачів і демонструє, наскільки блокчейн залежить від координації валідаторів та заздалегідь підготовлених процедур відновлення. 7

Чи зламали Crypto.com?

Доступні повідомлення описували Tectonic як незалежно керований DeFi-протокол, розгорнутий у блокчейні Cronos, який пов’язують із Crypto.com. Генеральний директор Crypto.com заявив, що основний застосунок і біржа компанії не постраждали. Жодне з наданих джерел не підтвердило компрометацію клієнтських балансів на цих платформах. 36926

Безпосередній вплив тому був зосереджений на Tectonic і DeFi-сегменті Cronos. Ширші наслідки включали зупинку мережі, невизначеність для кредиторів і позичальників та репутаційний тиск на екосистему Cronos.

Паралелі з Moonwell і Mango Markets

Економічна механіка атаки нагадує інцидент у Moonwell із токеном MAMO у серпні 2026 року. У власному звіті Moonwell після інциденту описала поєднання маніпуляції ціною MAMO в оракулі та завищення облікової вартості застави. Інші повідомлення вказували, що зловмисник використав завищену оцінку токена для позики ліквідних активів на ринках Moonwell у мережі Base. 273031

Ширша паралель простежується і з Mango Markets. У 2022 році зловмисник підняв ціну малоліквідного токена MNGO, через що маніпульована оцінка потрапила до розрахунків ризику платформи. Після цього він позичив інші активи під завищену заставу. 3647

Ці протоколи та їхні засоби захисту відрізнялися, тож інциденти не можна вважати технічно ідентичними. Їх об’єднує вужчий, але важливий урок: кредитну систему можна спустошити, якщо маніпульованій ринковій ціні дозволено визначати, скільки реальної ліквідності може отримати позичальник.

Що досі залишається невідомим

У найсвіжіших доступних повідомленнях залишалися відкритими кілька питань:

• Остаточну суму втрат або коштів, які можна повернути, не встановили. Оцінки коливалися приблизно від $66 млн до $75 млн, а один аналіз називав суму $119,5 млн. 21126
• Cronos не оприлюднила остаточну процедуру перезапуску мережі чи підтверджений графік відновлення. 11
• Статус адрес, пов’язаних з експлойтом, а також можливі заходи з повернення або блокування активів ще змінювалися. 10
• Жодне джерело не наводило доказів гарантованої компенсації вкладникам Tectonic.

Скільки коштів зрештою отримають кредитори, залежатиме від активів, які залишаються заблокованими в Cronos, уже переміщених активів, подальших дій протоколу та того, чи погодяться управління, резерви, страхові механізми, пов’язані структури або інша сторона покрити дефіцит. Поки ці рішення не задокументовані, «заблоковані» кошти не слід називати повернутими.

Що цей випадок говорить про безпеку DeFi у 2026 році

Експлойт Tectonic стався на тлі року з надзвичайно високою частотою криптовалютних інцидентів. CoinGecko нарахувала 164 випадки зламів та експлойтів у криптосекторі до початку серпня 2026 року — більше, ніж за будь-який попередній повний рік у її базі даних. Окремо The Defiant повідомляла, що другий квартал встановив рекорд за кількістю DeFi-експлойтів, хоча різні трекери наводили неоднакові оцінки. 3943

Висновок полягає не лише в тому, що протоколи атакують частіше. Tectonic і Moonwell показують, як ринок може зазнати краху навіть без класичної помилки в коді. Під час перевірок безпеки потрібно також тестувати, чи:

• може малоліквідний актив узагалі бути заставою;
• здатен оракул протистояти короткостроковій маніпуляції ціною;
• відповідають ліміти пропозиції та позик реальній ліквідності ринку;
• працюють механізми ліквідації під час різкого падіння ціни;
• можуть автоматичні аварійні паузи зупинити кредитування до того, як буде вичерпано спільну ліквідність.

Для користувачів практичний ризик очевидний: токен може виглядати цінним у кредитному інтерфейсі, хоча реальної ринкової ліквідності для підтримки такої оцінки майже немає. Для протоколів урок не менш прямий: параметри застави, дизайн оракула та аварійні обмеження є частиною периметра безпеки, а не другорядними налаштуваннями, які можна додати після аудиту смартконтрактів.