TONIC 百倍拉盘致 7400 万损失，Cronos 紧急停链

据 Woofun AI 消息，Cronos 生态借贷协议 Tectonic 于 8 月 30 日遭遇严重攻击，导致 Cronos 网络随后停止出块。该事件由 Crypto.com 最初开发的 Cronos 链承载，而 Tectonic 则由独立团队运营，这一架构分离使得事故影响迅速波及整个网络层。攻击不仅造成巨额资金流失，更迫使底层区块链暂停运行，凸显了智能合约漏洞对公链稳定性的致命威胁。

损失规模的追踪揭示了事态的严峻性。研究员 Weilin Li 最初追踪到约 6600 万美元的异常资金流动，其中约 600 万美元已转移至 Ethereum 网络，而约 6000 万美元仍滞留在 Cronos 上的三个地址中。随后，Li 又发现另一个持有约 800 万美元的攻击者地址。PeckShield 将总损失估算为约 7400 万美元。

Woofun AI 整理数据显示，事故发生前 Tectonic 是 Cronos 锁仓规模最大的借贷协议，DefiLlama 记录其总锁仓价值约为 1.2 亿美元，活跃贷款约 8270 万美元。

然而，截至 8 月 31 日，Tectonic 总锁仓价值已暴跌至 300 万美元以下，仅剩事故前的约 2.5%。这种断崖式下跌反映了市场信心的瞬间崩塌，也意味着协议流动性枯竭。

攻击手法的核心在于利用低流动性代币 TONIC 进行拉盘，并利用预言机漏洞。Tectonic 允许用户存入 USDC、USDT、CRO、WBTC 等资产，借款人抵押资产后可借走池内流动性。协议接受 TONIC 作为抵押品，并将抵押因子设为 20%，即价值 100 美元的 TONIC 可支持借入最多 20 美元的其他资产。8 月 30 日，攻击者在约 20 分钟内将 TONIC 价格拉高约 100 倍，随后存入 Tectonic。Li 识别出攻击仓位中包含约 364.6 万亿枚 TONIC，相当于总供应量的约 73%。

按操纵后的单价约 0.00000103 美元计算，这批代币在协议内的抵押品估值约为 3.75 亿美元。攻击者借此借走 USDC、USDT 等高流动性资产。当 TONIC 价格回落，清算人无法按原估值收回资产，资金池留下坏账。Tectonic 文档显示，TONIC/USD 价格源数据来自 VVS Finance 和 Crypto.com Exchange，每小时更新两次，价格变化达 1% 时也会更新。相比之下，8 月 27 日 Base 借贷协议 Moonwell 的 MAMO 市场也遭遇类似攻击。

攻击者投入约 194.7 万 USDC，累计买入约 9431 万枚 MAMO，并向 mMAMO 合约直接转入约 5339 万枚 MAMO，使每份 mMAMO 对应的底层资产提高约 3.68 倍。攻击期间 MAMO 价格从约 0.0106 美元升至 0.4313 美元。攻击者完成 18 次借款，取出 cbBTC、WETH、USDC 和 wstETH，累计价值约 1103 万美元。清算在最后一次借款 32 秒后开始，Moonwell 最终记录约 913.1 万美元剩余债务。

历史案例对比进一步印证了此类风险的普遍性。2022 年 10 月，Mango Markets 遭遇类似攻击，攻击者在约 30 分钟内将 MNGO 价格推高逾 13 倍，提取超过 1.1 亿美元资产。攻击者随后返还约 6700 万美元，保留约 4700 万美元。美国商品期货交易委员会（CFTC）于 2023 年提起执法行动，将其列为首起涉及去中心化交易平台预言机操纵的案件。Crypto.com 首席执行官 Kris Marszalek 表示，其应用和交易平台未受影响，安全团队正在协助调查。Tectonic 与 Moonwell 在四天内连续受损，两起事件均涉及低流动性代币价格急升，智能合约按上涨报价扩大借款额度，暴露出预言机机制在极端行情下的脆弱性。

当前僵局与后续处置充满不确定性。Cronos 停链限制了攻击者跨链转移资金，但也暂停了网络上的提现、还款、追加抵押和清算操作。Tectonic 用户无法调整借贷仓位，其他应用也无法提交交易。留在攻击地址中的资产能否被冻结或返还，取决于 Cronos 恢复出块时的处理方案，以及 Tectonic 对债务和资金池余额的最终核算。若产生坏账，Tectonic 需公布各资产池缺口、可提款余额和用户补偿安排。截至 8 月 31 日，Tectonic 尚未确认确切损失金额和攻击原因，Cronos 也未公布恢复出块时间或攻击资产处置方案。

这一悬而未决的状态，考验着社区治理与应急响应机制的极限。