Когда децентрализация дает сбой: почему блокчейны теперь «отключают» при кризисе?

30 августа валидаторы Cronos заморозили всю сеть.

За 24 часа до этого то же самое сделала Fogo, а неделей ранее Cosmos Labs разослала экстренное уведомление всем цепочкам, использующим ее EVM-модуль: либо обновляйтесь, либо останавливайтесь.

Три совершенно разных вектора атаки, три разные модели управления, но все они привели к одному и тому же экстренному решению — остановить сеть.

Когда наступает настоящий кризис, «последняя линия обороны» децентрализованной сети мало чем отличается от аварийного плана традиционной интернет-компании: выдернуть шнур.

75 миллионов долларов за 20 минут

Произошедшее на Cronos — классика жанра.

Атакующий выбрал Tectonic — крупнейший и практически единственный протокол кредитования на Cronos с TVL около 121,7 млн долларов, что составляет 46% от общего объема заблокированных средств в DeFi этой сети. Рычагом атаки стал управляющий токен Tectonic — TONIC, актив с крайне низкой ликвидностью.

Схема стара как мир: примерно за 20 минут цена TONIC была взвинчена примерно в 100 раз, после чего эти «раздутые» токены были использованы в качестве залога для вывода из пула ликвидности реальных средств — cbBTC, USDC, WETH.

По оценке ончейн-исследователя Ли Вейлина, позиция атакующего составляла около 364,6 трлн TONIC. При коэффициенте залога 20% для обеспечения займа примерно на 75 млн долларов стоимость его позиции после манипуляции должна была достичь примерно 375 млн долларов. Эта цифра полностью совпадает со 100-кратным ростом цены.

Валидаторы Cronos отреагировали быстро. К моменту заморозки сети атакующий успел вывести через мост в Ethereum лишь около 6 млн долларов, а оставшиеся примерно 60 млн долларов оказались заблокированы в остановленной сети.

Генеральный директор Crypto.com Крис Маршалек сразу же заявил в X, что приложение и биржа Crypto.com не пострадали, а служба безопасности помогает в расследовании.

Это была успешная остановка потерь, но она вскрыла неудобную реальность: Cronos смог так быстро скоординированно остановиться именно потому, что набор его валидаторов достаточно мал.

Cronos работает на консенсусе Tendermint, максимальное число валидаторов — 100, а фактически активных еще меньше. Это делает экстренную координацию эффективной, но и придает слову «децентрализация» несколько двусмысленный оттенок.

В октябре 2022 года Авраам Эйзенберг использовал практически ту же схему, чтобы вывести более 100 млн долларов из Mango Markets на Solana.

Метод идентичен: манипуляция ценой низколиквидного токена MNGO, а затем заимствование реальных активов под раздутый залог. Позже Эйзенберг был арестован и осужден за товарное мошенничество. Юридический прецедент создан: даже если атакующий технически следовал правилам самого протокола, манипуляция ценой DeFi-токена является уголовным преступлением.

Три дня назад протокол кредитования Moonwell в сети Base потерял около 8,7 млн долларов из-за точно такой же схемы атаки. Атакующий манипулировал ценой низколиквидного токена MAMO и вывел cbBTC и USDC. Это уже третий инцидент безопасности, связанный с оракулами, в Moonwell за 11 месяцев.

Сценарий Mango Markets разыгрывается с 2022 по 2026 год: сменились три сети и три названия токенов, но суть не изменилась ни на йоту.

DeFi-протоколы кредитования, добавляющие низколиквидные токены в качестве залога, подобны банку, который принимает в залог картину без авторитетной экспертизы: цена ничего не значит, важно лишь то, за сколько ее реально можно продать.

Сеть работала штатно, а через 15 часов остановилась

Случай с Fogo еще более показателен.

Вечером 29 августа (в 21:13 по восточному времени) Fogo Foundation сообщила в X, что неизвестный злоумышленник «взломал» фонд, в результате чего 400 млн токенов FOGO были переведены злоумышленникам. Фонд уведомил биржи и правоохранительные органы, подчеркнув, что «сам блокчейн Fogo не пострадал и продолжает работать в штатном режиме».

400 млн FOGO составляют 4% от общего предложения при создании (10 млрд токенов), но более 10% от текущего оборотного предложения. При цене FOGO около 0,0075 доллара на момент инцидента это около 3 млн долларов. Сумма невелика, но внезапный переход 10% оборотного предложения в руки атакующего для L1 с невысокой капитализацией — это системный риск.

Интересна реакция Bitget: биржа приостановила ввод и вывод FOGO примерно за час до официального раскрытия информации Fogo, сославшись на «техническое обслуживание кошелька». Затем последовала KuCoin. Чутье бирж оказалось острее, чем заявления команды проекта.

Ключевое произошло дальше: после того как фонд заявил, что «сеть работает нормально», примерно через 15 часов Fogo остановила основную сеть. В объявлении говорилось, что пауза необходима для предотвращения дальнейшего перемещения затронутых активов, а валидаторы обновят сеть, чтобы «ограничить адреса, связанные с несанкционированной деятельностью».

От «все в порядке» до «выдернуть шнур» прошло всего лишь время одного сна.

Фонд до сих пор не раскрыл вектор атаки и не объяснил, были ли украденные токены из операционного резерва или из казначейских резервов. Более важный вопрос: если Fogo может остановить всю сеть и заморозить конкретные адреса путем координации валидаторов, то как вообще определяется степень ее децентрализации?

Один баг, шесть сетей, четыре месяца

История с Cosmos EVM — это ужас другого измерения.

Это не проблема какой-то конкретной сети, а уязвимость уровня цепочки поставок в общей кодовой базе. Cosmos EVM — это модуль с открытым исходным кодом, позволяющий блокчейнам на базе Cosmos SDK выполнять смарт-контракты, совместимые с Ethereum. Любая сеть, использующая этот модуль, унаследовала один и тот же дефект кода.

Уязвимость представляет собой ошибку целочисленного недополнения: когда сумма делегирования на счете с вестингом превышает его доступный баланс, система не выдает ошибку, а «заворачивает» баланс до астрономической цифры, близкой к 2 в 256-й степени. Атакующему не нужны права администратора — достаточно создать специальную транзакцию, чтобы любой счет внезапно получил почти бесконечный баланс.

Хронология тревожная.

25 апреля исследователь сообщил об этом дефекте через программу bug bounty Cosmos Labs. Команда тестирования пришла к выводу, что производственные сети не затронуты. Исправление было выпущено как обычное обновление, без пометки о критичности безопасности, без публикации уведомления об уязвимости и без оповещения операторов нижестоящих сетей.

13 августа команда подтвердила внутри команды, что затронуты все сети Cosmos EVM. 19 августа была выпущена исправленная версия. 20 августа, всего через день после выпуска исправления, первая атака обрушилась на MANTRA. В течение следующих пяти дней атаки распространились на шесть сетей, включая MANTRA, TAC и KiiChain, с общим ущербом около 5,72 млн долларов.

В ходе экстренного реагирования Cosmos Labs связалась с 40 сетями и обнаружила 11 развертываний Cosmos EVM, которых ранее вообще не было в ее реестре. В экосистеме с более чем 115 публичными сетями тот факт, что сопровождающая сторона не знает, кто использует ее код, сам по себе страшнее уязвимости.

24 августа Cosmos Labs опубликовала в X открытое заявление, рекомендовав валидаторам остановиться. Исправление требует изменения состояния (state-breaking) и координации обновления; сетям, которые не могут немедленно обновиться, было рекомендовано просто остановиться.

Это не первый случай. В январе 2026 года атакующий использовал уязвимость предкомпилированного контракта ICS20 в той же кодовой базе, чтобы украсть около 7 млн долларов из EVM-сети Saga. Та же кодовая база, тот же год, два инцидента безопасности уровня цепочки поставок.

Модель совместного использования открытого кода дает огромные преимущества в эффективности, но в плане безопасности означает, что один баг может распространяться по всей экосистеме, как инфекционное заболевание. В традиционной индустрии ПО для этого существуют зрелые механизмы: номера CVE, обязательные уведомления о безопасности, окна для установки патчей нижестоящими потребителями. Cosmos Labs в этом инциденте пропустила практически все эти шаги.

Одно свойство — две оценки

BeInCrypto в репортаже об остановке Cronos процитировала точное выражение: сеть, которую можно отключить, — это одновременно сеть, в которой можно вернуть средства.

После остановки Cronos токен CRO, напротив, вырос примерно на 4–5%. Рынок оценивает «успешную остановку потерь». Около 60 млн долларов украденных активов по-прежнему заблокированы в сети, и если валидаторы выберут откат или внесение в черный список, эти средства могут быть возвращены. Но вкладчики Tectonic до сих пор не получили никаких обещаний компенсации.

После остановки Fogo цена FOGO снизилась на 18–20%. Можно ли заморозить 400 млн токенов, удерживаемых атакующим, зависит от того, что технически означает «ограничение адресов», а Fogo до сих пор этого не объяснила. А 26 сентября предстоит разблокировка еще около 1,54 млрд FOGO (15,44% от общего предложения), и это совпадение по времени делает доверие рынка еще более хрупким.

В случае с Cosmos EVM MANTRA возобновила генерацию блоков примерно через 30 часов простоя, заявив, что балансы пользователей не пострадали. TAC остановилась 22 августа на блоке 24 671 475 и на момент публикации так и не восстановилась. KiiChain подтвердила, что подверглась 18 атакам, с ущербом около 148 млн KII.

Три сети перед лицом одной и той же уязвимости получили три разных исхода.

В первой половине 2026 года Blockaid сообщила об убытках от инцидентов безопасности в блокчейне на сумму более 1,1 млрд долларов в 212 инцидентах. Статистика CertiK еще выше: 344 инцидента с ущербом около 1,31 млрд долларов, что превышает суммарный показатель за весь 2025 год.

Эти цифры свидетельствуют о реальности: проблемы безопасности криптосетей не улучшаются, а усугубляются.

Методы атак постоянно повторно используются и эволюционируют, но защитные механизмы не поспевают. Ценообразование оракулов для низколиквидных токенов и аудит безопасности общих кодовых баз остаются двумя системными уязвимыми местами.

Единственный запасной вариант — «остановить сеть», и это само по себе сигнал: архитектура безопасности нынешнего поколения криптосетей далеко не готова нести то видение отсутствия доверия, о котором они заявляют. А что делать после остановки — откат, черный список или перезапуск без изменений — каждый вариант несет свои последствия и создает прецедент. Это не технический выбор, а решение по управлению, а управление — это то, что криптомир хуже всего умеет обсуждать публично.

Ссылка на оригинал