Cronos、Tectonicで約7500万ドル流出。チェーン全面停止と巻き戻しで再開

暗号資産取引所Crypto.comが主導するブロックチェーン「Cronos」は8月30日、同チェーン最大のレンディングプロトコル「Tectonic」で約7,500万ドル規模の資産流出が発生したことを受け、バリデータの合意によりブロック生成を全面停止した。停止は数分以内に実行され、送金・ブリッジ・スマートコントラクトの実行がネットワーク全体で凍結された。チェーンは同日23時49分（UTC）にブロック90,896,189から生成を再開し、状態は攻撃発生前に巻き戻された。（参考: Decrypt「Crypto.com’s Cronos Halts Entire Blockchain After $75M Tectonic Exploit」）

TONIC価格の100倍操作と担保掛目20%

攻撃の起点は、Tectonicのガバナンストークンである「TONIC」だった。TONICの流動性は約134万ドル、1日あたりの出来高は約1.1万ドルにとどまっていたが、Tectonicはこのトークンに20%の担保掛目（預けた担保の評価額のうち借入に使える割合）を認めていた。

攻撃者はまず少量のTONICを預け入れ、同一ブロック内でTONICを借り増した。その後、薄い流動性を突いて約20分でTONIC価格を約100倍に押し上げ、水増しされた評価額のTONIC（約3億7,500万ドル相当と評価された364.6兆枚）を担保として、USDC 5,432万ドル、USDT 4,487万ドル、WBTC 95.36枚、WETH 1,861枚、CRO 3,961万枚を借り入れたと報じられている。オラクル価格は最初の預け入れから約14秒後、1ブロックで6.46倍に跳ね上がったとされる。（参考: The Crypto Times「Cronos Halts Its Blockchain After $75M Tectonic Exploit」）

手口としては、2022年に米国のSolana系デリバティブ取引所Mango Marketsを襲った価格操作型の攻撃と同型だと指摘されている。担保に使えるトークンの流動性と担保掛目の設定が見合っていない場合、価格を吊り上げるコストよりも借り出せる金額のほうが大きくなる。

停止から再開までの経緯

Cronos Networkは停止時に「Tectonicにおけるエクスプロイトを確認した。Cronos Networkは停止した」と告知し、セキュリティ企業と調査を進めていると説明した。Tectonicは利用者に対し「予防措置として、安全が確認できるまでプロトコルを操作しないでほしい」と呼びかけた。Crypto.comのクリス・マルシャレク最高経営責任者（CEO）は「レンディングプロトコルTectonicでセキュリティ侵害が発生した」としたうえで、「Crypto.comのアプリと取引所は影響を受けておらず通常どおり稼働している。すべての資金は安全だ」と述べた。（参考: crypto.news「Cronos halts blockchain after $75M Tectonic exploit」）

状態の巻き戻しと分散性をめぐる議論

今回の対応で最も議論を呼んでいるのが、再開時にチェーンの状態を攻撃前に戻した点である。Cronos Networkは公式アカウントで「これはTectonicプロトコルのエクスプロイトからユーザーを保護するための、バリデータ合意による緊急措置だ」と説明した。（参考: The Crypto Times「Cronos Restarts Network After Tectonic Exploit and Rollback」）

一方で利用者からは、緊急時に取引を巻き戻せるネットワークは、別の状況でも巻き戻しを求める圧力にさらされうる、という指摘が出ていると報じられている。停止中は攻撃と無関係の利用者のポジションや送金も一律に凍結された。

編集部の見方では、この対応は「被害の封じ込め」と「取引の最終性（ファイナリティ）」のどちらを優先するかという、コンセンサス設計の根本的なトレードオフを可視化したものだと考えられる（根拠: 攻撃者が外部チェーンへ持ち出せた額が約600万ドルにとどまった一方、無関係の利用者の取引も凍結・巻き戻しの対象になったこと）。約100者という比較的絞られたバリデータ集合が数分で合意できた点は、被害抑止には有効に働いたが、同時に少数の合意で履歴を変更しうることも示している。

被害額の推計が割れる理由

「約7,500万ドル」という数字が広く報じられている一方、集計方法によって推計には幅がある。TectonicもCronosも8月31日時点で最終的な損失額を確定していない。

二次的な影響として、871万ドル相当の清算と3,260万ドルの不良債権が発生したと報じられている。TectonicのTVL（預かり資産総額）は1億2,170万ドルから約300万ドルへと97.5%減少した。Tectonicは攻撃前、Cronos上のDeFiに預けられた資本の約46%を占めていた。（参考: Bitcoin.com News「Cronos Halts Chain After $75M Tectonic Exploit」）

残る論点は不良債権と補償の枠組み

8月31日時点で未解決の点は複数ある。第一に、流動性が約134万ドルしかないTONICに20%の担保掛目が設定されていた経緯が説明されていない。第二に、巻き戻しによってどこまでが実質的に回復し、どこからが恒久的な損失なのかが確定していない。第三に、Tectonicに預けていた利用者への補償方針が示されていない。

CronosとTectonicはいずれも詳細な事後検証（ポストモーテム）を公表するとしているが、公開時期は明らかにしていない。CRO価格は記事執筆時点で約0.06ドルで、2025年9月に付けた0.20ドル前後の水準を大きく下回っている。

DeFiの担保設計をめぐる問題は今回に限った話ではない。ガバナンストークンのように発行体側の裁量が大きく、市場が薄い資産を担保として受け入れる設計は、価格操作型の攻撃に対して構造的に弱いと従来から指摘されてきた。今回の事案は、その設計リスクがチェーン全体の停止という形で表面化した例だと言える。

出典

• Decrypt: Crypto.com’s Cronos Halts Entire Blockchain After $75M Tectonic Exploit
• The Crypto Times: Cronos Halts Its Blockchain After $75M Tectonic Exploit. The Attack Started With a 100x TONIC Pump
• The Crypto Times: Cronos Restarts Network After Tectonic Exploit and Rollback
• crypto.news: Cronos halts blockchain after $75M Tectonic exploit
• Bitcoin.com News: Cronos Halts Chain After $75M Tectonic Exploit
• Cronos Network（X）: ネットワーク再開の告知