Cronos stoppte seine gesamte Blockchain, um einen Exploit im Wert von 75 Millionen Dollar zu verhindern.

Cronos, die von Crypto.com entwickelte Layer-1-Blockchain, stellte am Sonntag, dem 30. August, die Blockproduktion ein. Ein Angreifer hatte zuvor Dutzende Millionen Dollar von Tectonic, dem größten Kreditprotokoll des Netzwerks, abgezogen, woraufhin die Validatoren die gesamte Blockchain lahmlegten, um weiteren Schaden zu verhindern. Zwei Tage später ist der Angriff selbst fast schon nebensächlich. Viel wichtiger ist die Frage, was es bedeutet, dass eine „dezentrale“ Blockchain einfach abgeschaltet werden kann.

Cronos bestätigte den Vorfall auf X und gab an , eine Sicherheitslücke in Tectonic entdeckt und das Netzwerk während der Untersuchung angehalten zu haben. Tectonic, das vor dem Angriff Einlagen in Höhe von rund 121,7 Millionen US-Dollar und Kredite in Höhe von 82,7 Millionen US-Dollar verwaltete – fast die Hälfte des gesamten in Cronos DeFi gebundenen Vermögens –, riet Nutzern, das Protokoll zu meiden, bis die Sicherheit wiederhergestellt sei. Am Montag zeigte das Dashboard von DefiLlama, dass der Gesamtwert der in Tectonic gebundenen Vermögenswerte auf etwa 3 Millionen US-Dollar eingebrochen war.

Wie hat der Angreifer es gemacht?

Der Mechanismus war kein fehlerhafter Smart Contract, sondern ein falsch bewerteter Risikoparameter. Der On-Chain-Forscher Weilin Li beschrieb den Ablauf in einem Thread auf X: TONIC, der Governance-Token von Tectonic, wurde mit einer Liquidität von nur etwa 1,34 Millionen US-Dollar und einem täglichen Handelsvolumen von rund 11.000 US-Dollar gehandelt. Trotzdem erlaubte das Protokoll die Kreditaufnahme gegen TONIC mit einem Besicherungsfaktor von 20%. Innerhalb von etwa 20 Minuten trieb der Angreifer den TONIC-Kurs um das Hundertfache in die Höhe, hinterlegte die aufgeblähten Token als Sicherheit und lieh sich reale Vermögenswerte zu einem Betrag, dem der Markt nie zugestimmt hatte.

Dieses Vorgehen ist im Kryptobereich nicht neu. Li bezeichnete es als „Mango-Markets-ähnliches“ Pump-and-Borrow-Schema – eine Anspielung auf den Mango-Markets-Exploit vom Oktober 2022, bei dem rund 100 Millionen US-Dollar erbeutet wurden. Er merkte an, dies sei bereits die dritte Version desselben Tricks, die er in letzter Zeit beobachtet habe, nach einem Verlust von 8,7 Millionen US-Dollar auf Moonwells MAMO-Markt und einem separaten Vorfall mit reUSD/Pendle. Immer wieder werden illiquide Governance-Token als Sicherheiten hinterlegt, und Angreifer bemerken dies stets, bevor die Protokolle reagieren.

Niemand ist sich über die genaue Zahl einig.

Lis Schätzung änderte sich zweimal: Zuerst lag sie bei etwa 66 Millionen US-Dollar, dann näherte sie sich 75 Millionen US-Dollar, nachdem er eine zweite, mit dem Angreifer in Verbindung stehende Wallet mit weiteren rund 8 Millionen US-Dollar ausfindig gemacht hatte. PeckShield kam unabhängig davon auf etwa 74 Millionen US-Dollar. Ein dritter Forscher namens Hajedan verfolgte einen völlig anderen Ansatz: Er addierte die gesamten Kredite in den 16 Märkten von Tectonic und kam auf 124.963.890 US-Dollar, von denen er berechnete, dass 99,91% dem Angreifer gehörten. Er konnte etwa 110,5 Millionen US-Dollar davon noch bei Cronos ausfindig machen und rund 7,8 Millionen US-Dollar nicht zuordnen. Weder Cronos noch Tectonic haben eine offizielle Verlustzahl veröffentlicht.

Keine dieser Zahlen widerspricht sich. Sie messen unterschiedliche Dinge: Nettogeldflüsse, Bruttokreditaufnahme und bisher zugeordnete Wallets. Das sollte man sich vor Augen halten, wenn das nächste Mal eine Schlagzeile eine Zahl als unumstößliche Tatsache präsentiert.

Weitgehend geklärt ist der Verbleib des Geldes. Lookonchain konnte etwa 6,29 Millionen US-Dollar nachverfolgen, die auf Ethereum übertragen und in 2.592 ETH getauscht wurden, bevor die Blockchain eingefroren wurde. Der Rest, je nach verwendetem Tracker zwischen 60 und 69 Millionen US-Dollar, erreichte Cronos nie.

Der Halt ist der Teil, über den die Leute tatsächlich streiten.

Cronos läuft auf einer Tendermint-basierten Cosmos SDK-Chain mit maximal 100 Validatoren – klein genug, um innerhalb von Minuten einen Notstopp zu koordinieren. Genau das ist passiert, und genau das spaltet nun die Community. Ein Cronos-Nutzer namens TurtleonCro brachte es treffend auf den Punkt: Die Pause schützte die Nutzer tatsächlich vor weiteren Verlusten und bewies gleichzeitig, dass eine kleine Gruppe von Validatoren jede Wallet in der Chain einfrieren kann, unabhängig davon, ob diese Wallet jemals mit Tectonic in Kontakt stand. Beides ist richtig und widerspricht sich nicht. Eine kleinere, aber lautstärkere Gruppe geht noch weiter und argumentiert, dass dies nicht einmal als Hack bezeichnet werden sollte, da der Angreifer keinen Code manipuliert, sondern lediglich die veröffentlichten Regeln des Protokolls konsequent zu ihren – zugegebenermaßen unschönen – Konsequenzen gezogen habe.

Crypto.com-CEO Kris Marszalek äußerte sich noch am selben Tag auf X zu dem Vorfall und erklärte, dass die App und die zentralisierte Plattform der Börse unberührt geblieben seien und eine umfassende Untersuchung folgen werde. „Alle Gelder sind sicher“, schrieb er. Diese Aussage ist unabhängig von der Einfrierung der Blockchain zu betrachten: Cronos und die Crypto.com-Börse sind unterschiedliche Systeme, und die Aussetzung hatte keine Auswirkungen auf die Börsenguthaben.

Wieder online, Fragen noch offen

Die Validatoren stellten die Blockproduktion noch in derselben Nacht um 23:49 UTC wieder her, indem sie den Zustand der Blockchain auf einen Snapshot vor dem Sicherheitsvorfall zurücksetzten und ab Block 90.896.189 fortfuhren. Node-Betreiber wurden angewiesen, auf Version 1.7.8 zu aktualisieren und die veröffentlichten Mainnet-Snapshots herunterzuladen. Cronos bezeichnete die Rücksetzung und die Einstellung der Blockproduktion als Notfallmaßnahme im Konsens der Validatoren zum Schutz der Nutzer und kündigte eine ausführliche Analyse an.

Zum jetzigen Zeitpunkt liegt weder ein Untersuchungsbericht noch ein Entschädigungsplan für Tectonic-Einleger vor. Berichten zufolge befinden sich noch immer uneinbringliche Forderungen in Höhe von rund 32,6 Millionen US-Dollar im Protokoll, zusätzlich zu den etwa 8,71 Millionen US-Dollar an Liquidationen, die während des Angriffs selbst ausgelöst wurden. Der CRO-Kurs fiel nach Bekanntwerden der Nachricht im Tagesverlauf um bis zu 10% und notierte bei etwa 0,055 bis 0,056 US-Dollar – ein Token, der sich ohnehin schon im Abwärtstrend befand.

Der hier relevante Kontext

2026 war kein gutes Jahr für DeFi-Kredite. Branchenbeobachter zählen 67 Sicherheitslücken in Kreditprotokollen unter insgesamt 267 DeFi-Vorfällen in diesem Jahr, wodurch die Verluste des Sektors auf über 1,26 Milliarden US-Dollar anstiegen. Der Zusammenbruch von Tectonic folgt einem sich wiederholenden Muster: Die Sicherheitslücke entsteht selten durch einen fehlerhaften Smart Contract. Sie entsteht vielmehr durch einen Sicherheitenparameter, der von niemandem einem Token gegenüber getestet wurde, mit dem praktisch niemand handelte.