coindesk.com
Cronos bestätigte, dass der Angriff auf die Kreditvergabeplattform Tectonic am 30. August eine Kreditaktivität in Höhe von 120,4 Millionen US-Dollar betraf. Es wurde mitgeteilt, dass die Validatoren die „schwierige Entscheidung“ getroffen haben, die Blockchain zurückzusetzen und dabei 111,2 Millionen US-Dollar, also etwa 92 % der betroffenen Mittel, in einer Nachbesprechung zurückzugewinnen. Bericht über X am Dienstag.
Die Zahlen sind höher als ursprünglich berichtet. Als Cronos die Blockchain am 31. August stoppte, befanden sich ungefähr 75 Millionen US-Dollar wurde für entwendet gehalten. Das Post-Mortem aktualisiert den insgesamt im Exploit betroffenen Betrag. Es wird ebenfalls angegeben, dass 9,19 Millionen US-Dollar, beziehungsweise etwa 7,6 % der betroffenen Mittel, das Netzwerk vor dem Stopp verlassen haben und weiterhin nicht wiederhergestellt wurden.
Die Wiederherstellung hatte ihren Preis. Um die auf Cronos verbliebenen Gelder zurückzugeben, setzten die Validatoren bereits abgeschlossene Blöcke zurück und annullierten Transaktionen von Nutzern, die nicht an dem Angriff beteiligt waren.
Der Angreifer setzte Verträge ein und trieb den Preis von TONIC, dem eigenen Token von Tectonic, innerhalb weniger Minuten etwa 100-fach gegen dünne DEX-Liquidität in die Höhe, so Cronos. Eine einzelne Transaktion lieh sich unter Verwendung des aufgeblähten Sicherheitenwertes 120,4 Millionen US-Dollar über neun Märkte hinweg. Die Validatoren stoppten das Netzwerk etwa zwei Stunden später und stellten die Kette schließlich auf den letzten Block vor der verdächtigen Aktivität zurück. Die Blockproduktion wurde etwa 11 Stunden nach dem Exploit wieder aufgenommen.
Der Rollback umfasste die Rückgängigmachung von 1 Stunde und 54 Minuten an Chain-Historie, entsprechend 10.961 Blöcken. Jede Transaktion in diesem Zeitraum wurde rückgängig gemacht, unabhängig davon, ob sie von der Sicherheitslücke betroffen war. Cronos erkannte die dadurch verursachte Störung an und erklärte, dass offene Positionen auf Live-Anwendungen bei Wiederaufnahme des Handels neu bewertet wurden.
Das ist für Nutzer und Entwickler über Tectonic hinaus von Bedeutung. Ein Handel, eine Übertragung oder eine Smart-Contract-Aktion auf Cronos muss möglicherweise abgeglichen werden, falls eine spätere Validator-Entscheidung diese aus der Historie der Chain entfernt. Das Problem ist besonders gravierend für Bridges und andere Anwendungen, die auf einer Cronos-Transaktion basieren, bevor ein Rollback durchgeführt wird.
„Es war eine schwierige Entscheidung, die gemeinsam mit den Validatoren getroffen wurde, wobei das Maß an Finalität, das die Nutzer von einer Chain erwarten, gegen die gefährdeten Mittel abgewogen wurde“, heißt es in der Nachbesprechung. Die Alternative wäre gewesen, das Netzwerk neu zu starten, ohne den vorherigen Zustand wiederherzustellen, wodurch die ausgeliehenen Vermögenswerte unter der Kontrolle des Angreifers geblieben wären, erklärte Cronos.