Cronos nimmt nach dem Tectonic-Angriff den Betrieb wieder auf: Aufgeblähte Kredite über 74 Millionen US-Dollar

Die Cronos-Blockchain hat die Blockproduktion wieder aufgenommen, nachdem sie als Reaktion auf den Exploit gegen Tectonic, das wichtigste Lending-Protokoll des Netzwerks, per Notfallmaßnahme angehalten worden war. Der Angreifer manipulierte den Preis des TONIC-Tokens und verwendete ihn als Sicherheiten, um Vermögenswerte im Wert von rund 74 Millionen US-Dollar zu leihen.

Der Neustart erfolgte am 30.08.2026 um 23:49:01 UTC bei Block 90.896.189. Die Mitteilung zur Wiederaufnahme des Betriebs wurde am 31. August 2026 um 16:47 Uhr veröffentlicht.

Die Summe von 74 Millionen US-Dollar entspricht allerdings nicht dem Betrag, der tatsächlich aus dem Netzwerk abgezogen wurde. Nach Angaben des Blockchain-Sicherheitsunternehmens PeckShield konnte der Angreifer rund 6 Millionen US-Dollar in Ethereum entwenden. Der übrige Betrag soll auf Cronos blockiert geblieben sein.

TONIC-Preis innerhalb von 20 Minuten um das Hundertfache aufgebläht

Der Angriff nutzte das Verhältnis zwischen dem Wert einer Sicherheit und der Menge an Vermögenswerten aus, die ein Lending-Protokoll gegen diese Sicherheit als Kredit ausgibt.

Der Angreifer erhöhte den Preis von TONIC, dem mit Tectonic verbundenen Token, künstlich um das 100-Fache. Nachdem der Nominalwert der Sicherheit gestiegen war, hinterlegte er den Token im Protokoll und erhielt im Gegenzug Kredite in Vermögenswerten mit einem realen Wert und höherer Liquidität.

Die gesamte Manipulation spielte sich innerhalb von etwa 20 Minuten ab. Dadurch wurden Kredite im Wert von rund 74 Millionen US-Dollar erzeugt, die jedoch durch ein Asset besichert waren, dessen Preis manipuliert worden war.

Diese Art von Angriff zielt auf einen der zentralen Mechanismen des dezentralen Finanzwesens. Wenn ein Protokoll eine verzerrte Bewertung als verlässlich akzeptiert, kann es eine Position als solvent einstufen, obwohl sie zu den tatsächlichen Marktpreisen nicht über ausreichende Sicherheiten verfügt.

Die technischen Details, die klären könnten, welche Komponente die Manipulation ermöglicht hat, sind bislang nicht bekannt. Insbesondere ist offen, ob das Problem direkt den Preisermittlungsmechanismus, die Sicherheitenprüfungen, die verfügbare Liquidität oder das Zusammenspiel mehrerer Smart Contracts betraf.

Ebenfalls nicht veröffentlicht wurden die Versionen der betroffenen Smart Contracts, die dem Angreifer zugerechneten Adressen oder technische Indikatoren, mit denen sich sämtliche verbundenen Transaktionen identifizieren lassen. Cronos hat einen Post-Mortem-Bericht angekündigt, der weitere Informationen liefern soll.

Warum Kredite über 74 Millionen nicht 74 Millionen an gestohlenen Geldern entsprechen

Die beiden zentralen Beträge des Vorfalls beschreiben unterschiedliche Aspekte. Die 74 Millionen US-Dollar entsprechen dem Gesamtwert der Assets, die der Angreifer mithilfe der manipulierten Sicherheiten leihen konnte. Die 6 Millionen US-Dollar in Ethereum stellen dagegen den Anteil dar, der nach Einschätzung von PeckShield tatsächlich entwendet wurde.

Die Differenz ergibt sich daraus, dass ein Großteil der Gelder auf der Cronos-Blockchain verblieben ist. Eine betrügerische Kreditposition erzeugen zu können bedeutet nicht automatisch, dass der gesamte Betrag vor dem Eingreifen der Betreiber und Validatoren frei übertragen, umgetauscht und aus dem Netzwerk abgezogen werden kann.

Das Einfrieren der Transaktionen begrenzte somit den tatsächlich realisierten Verlust, mindert jedoch nicht die Schwere des Exploits. Das Protokoll verbuchte weiterhin Kredite in zweistelliger Millionenhöhe, die gegen Sicherheiten mit künstlich erhöhtem Wert aufgenommen wurden. Deshalb war ein Eingriff in das gesamte Netzwerk erforderlich.

Offen ist außerdem, wie die blockierten Gelder endgültig behandelt und die Positionen der Nutzer abgeglichen werden. Ebenso ist unklar, ob sich die Schätzung von 6 Millionen US-Dollar nach einer vollständigen Analyse der Bewegungen zwischen Cronos, Ethereum und möglicherweise genutzten zwischengeschalteten Diensten noch verändern wird.

Cronos stoppte das Netzwerk und stellte einen früheren Zustand wieder her

Tectonic hatte mitgeteilt, an der Behebung eines Sicherheitsvorfalls zu arbeiten, und die Nutzer aufgefordert, bis zu einer öffentlichen Bestätigung der Sicherheit nicht mit dem Protokoll zu interagieren.

Daraufhin stoppte Cronos die Blockchain und fror die laufenden Transaktionen ein, als der Exploit erkannt wurde. Die Maßnahme wurde als Notfallreaktion beschrieben, die im Einvernehmen mit den Validatoren ergriffen wurde, um die Nutzer vor dem Angriff auf Tectonic zu schützen.

Der Zustand der Chain wurde auf einen Zeitpunkt vor dem Exploit zurückgesetzt. Anschließend wurde die Blockproduktion ab Block 90.896.189 wieder aufgenommen.

Die Reaktion begrenzte zumindest einen Teil des wirtschaftlichen Schadens, indem sie den Angreifer daran hinderte, über sämtliche geliehenen Assets frei zu verfügen. Gleichzeitig waren auch Anwendungen und Nutzer betroffen, die nicht mit Tectonic verbunden waren, da Cronos als Ganzes angehalten wurde.

Eine Wiederherstellung des Zustands kann zudem zusätzliche Prüfungen durch Protokolle, Wallets und verbundene Dienste erfordern. Transaktionen, die vor dem Stopp als gültig galten, müssen mit dem tatsächlichen Zustand der Blockchain nach dem Neustart abgeglichen werden. Das gilt insbesondere dann, wenn externe Systeme während des Vorfalls Einzahlungen, Abhebungen oder Transfers erfasst haben.

Cronos überwacht die Stabilität des Netzwerks, die Kompatibilität der Protokolle und das Auftreten weiterer Anomalien. Die Wiederaufnahme der Blockproduktion zeigt, dass die Infrastruktur wieder betriebsbereit ist. Sie bestätigt jedoch nicht automatisch, dass Tectonic uneingeschränkt genutzt werden kann.

Der TVL von Tectonic fiel von 122 Millionen auf weniger als 3 Millionen

Vor dem Angriff war Tectonic das wichtigste auf Cronos aufgebaute Lending-Protokoll und verwahrte rund 122 Millionen US-Dollar. Nach dem Vorfall sank der von DeFiLlama ausgewiesene Total Value Locked auf knapp unter 3 Millionen US-Dollar.

Der TVL misst den Wert der in einem Protokoll hinterlegten Assets. Er entspricht nicht zwangsläufig dem Verlust der Nutzer. Ein Rückgang in dieser Größenordnung weist jedoch auf einen drastischen Liquiditätsabfluss aus der Anwendung hin.

Die Auswirkungen gehen damit über die rund 6 Millionen US-Dollar in Ethereum hinaus, die der Angreifer mutmaßlich entwenden konnte. Der Exploit beeinträchtigte den Betrieb von Tectonic, veränderte die Kreditpositionen und zwang Cronos – ein mit dem Ethereum-Ökosystem kompatibles und mit Crypto.com verbundenes Netzwerk – dazu, die Blockproduktion vorübergehend einzustellen.

Der Einbruch des TVL kann außerdem die Verwaltung der verbleibenden Positionen erschweren. Ein Lending-Protokoll mit geringer Liquidität verfügt über weniger Spielraum, um Abhebungen, Liquidationen und Ungleichgewichte zwischen hinterlegten und verliehenen Assets aufzufangen.

Was Nutzer und Betreiber überprüfen sollten

Die von Tectonic empfohlene Vorsichtsmaßnahme bleibt bestehen: Bis zu einer öffentlichen Bestätigung der Sicherheit sollte nicht mit dem Protokoll interagiert werden. Die Tatsache, dass Cronos wieder Blöcke produziert, autorisiert nicht automatisch Einzahlungen, Rückzahlungen oder neue Transaktionen auf der Lending-Plattform.

Nutzer sollten den Status ihrer Positionen direkt über die offiziellen Kanäle prüfen und Guthaben, Schulden sowie Sicherheiten mit dem Stand vor dem Vorfall abgleichen. Wer Transaktionen kurz vor dem Stopp durchgeführt hat, sollte kontrollieren, ob diese in der wiederhergestellten Chain enthalten sind, und sich dabei nicht ausschließlich auf den lokalen Wallet-Verlauf oder Benachrichtigungen einer Anwendung verlassen.

Börsen, Bridges und andere mit Cronos verbundene Dienste müssen Ein- und Auszahlungen mit dem wiederhergestellten Zustand abgleichen, bevor sie Transaktionen gutschreiben, die möglicherweise vom Einfrieren betroffen waren.

Derzeit gibt es weder einen identifizierten Patch noch eine vollständige Liste bösartiger Adressen oder öffentlich verfügbare Regeln zur Erkennung des Angriffs. Ebenfalls fehlen Details zu möglichen Änderungen an den Risikoparametern von TONIC, den Kreditlimits und den Systemen zur Bewertung der Sicherheiten.

Der von Cronos angekündigte Post-Mortem-Bericht wird daher entscheidend sein, um die technische Ursache des Exploits, die genaue Abfolge der Transaktionen und die Voraussetzungen für eine sichere Wiedereröffnung von Tectonic zu klären. Bis dahin ist das Netzwerk zwar wieder betriebsbereit, der Vorfall kann jedoch noch nicht als vollständig behoben betrachtet werden.