Cronos setzt Blockchain nach 75-Millionen-Dollar-Hack um 10.000 Blöcke zurück

Cronos hat nach einem großen Angriff auf die Leihplattform Tectonic eine außergewöhnliche Maßnahme ergriffen. Validatoren stoppten das Netzwerk vorübergehend und setzten mehr als 10.000 Blöcke zurück. So wurde verhindert, dass der Großteil der Beute endgültig verschwand.

Der Eingriff sicherte Schätzungen zufolge 69 Millionen Dollar, sorgt aber zugleich für Diskussionen. Denn wenn Tausende bestätigte Transaktionen nachträglich gelöscht werden können, wie unveränderlich ist eine Blockchain dann tatsächlich?

Angreifer nutzt TONIC-Kurs aus

Der Angriff fand am 30. August statt und drehte sich um TONIC, den eigenen Token von Tectonic. Nutzer konnten diesen Token als Sicherheit hinterlegen, um andere digitale Vermögenswerte zu leihen.

Der Angreifer kaufte Schätzungen zufolge TONIC im Wert von rund 600.000 Dollar auf Märkten mit geringer Liquidität. Dadurch ließ sich der Kurs vergleichsweise leicht nach oben treiben. Binnen rund zwanzig Minuten soll TONIC auf das Hundertfache gestiegen sein.

Anschließend wurden 364,6 Billionen TONIC als Sicherheit bei Tectonic hinterlegt. Durch den künstlich erhöhten Kurs war diese Position auf dem Papier rund 375 Millionen Dollar wert. Damit konnte der Angreifer andere digitale Vermögenswerte im Wert von etwa 75 Millionen Dollar leihen und abziehen.

Tatsächlich waren die TONIC-Token bei Weitem keine 375 Millionen Dollar wert. Hätte der Angreifer versucht, sie in großem Umfang zu verkaufen, wäre der Kurs mangels Käufern vermutlich schnell eingebrochen.

Nach Einschätzung von RedStone-Mitgründer Marcin Kazmierczak lag genau darin die entscheidende Schwachstelle. Das System erfasste zwar den aktuellen TONIC-Kurs, berücksichtigte aber zu wenig, wie viele Token zu diesem Preis tatsächlich hätten verkauft werden können.

Cronos rettet rund 69 Millionen Dollar

Nach dem Angriff griffen die Cronos-Validatoren entschlossen ein. Sie stoppten das Netzwerk zunächst und setzten die Blockchain anschließend auf einen Zeitpunkt vor dem Angriff zurück. Dadurch verschwanden mehr als 10.000 Blöcke aus der offiziellen Historie.

Rund 6 Millionen Dollar waren zu diesem Zeitpunkt bereits zu Ethereum (ETH) transferiert worden und lagen außerhalb der Reichweite von Cronos. Die übrigen rund 69 Millionen Dollar befanden sich noch im Netzwerk und konnten durch den Eingriff geschützt werden.

Für Tectonic waren die Folgen erheblich. Vor dem Angriff waren auf der Plattform rund 121,7 Millionen Dollar hinterlegt. Binnen 48 Stunden blieben davon nur noch etwa 3 Millionen Dollar übrig.

Eingriff entfacht Debatte über Cronos

Die Rettungsaktion hat ihren Preis. Durch das Zurücksetzen Tausender Blöcke verschwanden nicht nur die Transaktionen des Angreifers. Auch reguläre Nutzertransaktionen aus demselben Zeitraum wurden aus der Cronos-Historie entfernt.

Damit ist ein zentrales Prinzip der Blockchain-Technologie berührt: Bestätigte Transaktionen sollten grundsätzlich nicht ohne Weiteres im Nachhinein verändert werden können.

Cronos bezeichnet den Eingriff als Notmaßnahme, auf die sich die Validatoren gemeinsam verständigt hätten. Ein ausführlicher technischer Bericht steht noch aus.

Die Lage erinnert an den DAO-Hack bei Ethereum im Jahr 2016. Auch damals wurde die Historie der Blockchain angepasst, um die Folgen eines großen Angriffs rückgängig zu machen. Cronos konnte nun rund 69 Millionen Dollar schützen, hat zugleich aber eine neue Debatte darüber ausgelöst, wie dezentral und unveränderlich das Netzwerk tatsächlich ist.