Протоколи кредитування визначають ліміт позики на основі цін на заставу, отриманих від оракулів, а оракули зчитують ці дані безпосередньо з ринку. Коли токен має низьку ліквідність, один великий покупець може суттєво змінити його ціну. За тиждень до атаки обсяг торгів TONIC (власного токена управління Tectonic) становив лише $305 тис. За всі 57 місяців існування токена загальний обсяг торгів досяг $929 млн, а сума, яку зловмисник позичив 30 серпня, склала 8% від цього історичного показника.
Зловмисник підняв ціну TONIC приблизно в 100 разів за 20 хвилин, вніс цю завищену позицію як заставу та вивів більш ліквідні активи з пулів кредитування Tectonic. Широко висвітлена сума збитків становить 75 млн доларів США; при цьому один із ончейн-аналізів оцінює втрати у 119,5 млн доларів США. Загальна заблокована вартість (TVL) Tectonic впала з $121,7 млн (станом на 26 серпня) до приблизно $3 млн на 31 серпня.
Представники Cronos Network підтвердили інцидент: «Ми виявили вразливість у Tectonic. Роботу мережі Cronos зупинено, деталі повідомимо згодом». Tectonic закликав користувачів утриматися від взаємодії з протоколом до підтвердження безпеки.

Виведені активи опинилися на двох адресах-отримувачах у мережі Cronos.
Звідти гаманець зловмисника забрав кошти та перевів їх за межі Cronos EVM. Ця адреса зберігає приблизно ~$6 млн, які надійшли в мережу Ethereum і були обміняні на USDC, а потім орієнтовно на 2,5 тис. ETH. Решта коштів так і не покинули Cronos, і пізніше валідатори відкотили мережу до стану до атаки, скасувавши цю частину транзакцій. Переведені через міст кошти залишилися недосяжними, адже відкат Cronos не впливає на блокчейн Ethereum.

У більшості великих експлойтів кошти опиняються в іншій мережі вже за кілька годин, і до моменту підтвердження інциденту зупиняти вже нічого. Cronos працює на консенсусі Tendermint із лімітом у 100 валідаторів — це достатньо мала група, щоб узгодити зупинку за лічені хвилини. Cronos згенерував свій останній блок (90907150) о 14:32:47 UTC 30 серпня, що підтверджено трьома окремими провайдерами вузлів та незалежною публічною нодою.
Зупинка ланцюга заблокувала приблизно 92% викрадених коштів. У валідаторів було три варіанти: перезапустити мережу «як є», заморозити адреси нападника або відкотити блокчейн до стану перед атакою. Вони обрали останній. 31 серпня Cronos повідомив про відновлення генерації блоків та повноцінне повернення в онлайн із відновленням стану до моменту атаки. Відкат чітко видно в ончейні: блок, що передував зупинці, тепер має інший часовий штамп і не містить транзакцій, а адреса, з якої кошти переказувалися через міст, взагалі не відображає вихідних транзакцій.
Найближчим опублікованим прецедентом є квітневий експлойт KelpDAO 2026 року (викрадення $292 млн), під час якого Рада безпеки Arbitrum заморозила ETH на суму близько $75 млн. Близько $175 млн у ETH (частина незаморожених коштів) пізніше були обміняні на Bitcoin через THORChain. Arbitrum заморозив лише частину коштів, отриманих у результаті атаки, решта пішла далі. Cronos же скасував усе, що не встигло залишити мережу.

Слабким місцем експлойтів у сфері кредитування 2026 року стала сама застава. Зловмиснику, який може «переконати» протокол у цінності фактично непотрібного активу, навіть не потрібно зламувати програмний код. Достатньо токена з низькою ліквідністю та оракула, який розраховує ціну на основі цього ринку. TRM зафіксувала 32 атаки з маніпуляцією ціною у 2026 році — більше, ніж за будь-який попередній рік.
Tectonic — це другий за масштабом експлойт цього року, де ключовим фактором стала маніпуляція заставою, а не вразливість коду. Під час атаки на Drift Protocol 1 квітня нападник сам створив заставний актив: штучний токен CarbonVote Token, додав кілька тисяч доларів ліквідності на Raydium та сформував фальшиву історію торгів з ціною близько $1. Оракули Drift сприйняли його як реальний актив, і за 12 хвилин було здійснено 31 виведення коштів на суму приблизно 285 мільйонів доларів.

Відмінність Drift від Tectonic полягає в тому, що аналіз TRM визначив соціальну інженерію щодо підписантів мультипідпису та відсутність часового затримання (zero-timelock) при міграції управління як основні причини збою, де фальшива застава була лише одним із компонентів. А за три дні до інциденту з Tectonic, 27 серпня, аналогічна атака вивела $8,7 млн із протоколу Moonwell у мережі Base.

Наразі маніпуляція ціною становить приблизно кожний восьмий хак, тоді як у 2022 році цей показник становив один із 17. Хоча частка викрадених коштів у загальному обсязі залишається стабільною, частка самих інцидентів, спричинених маніпуляцією цінами, невпинно зростає з 2022 року.

За даними TRM за перше півріччя 2026 року, було зафіксовано 207 інцидентів із загальною сумою збитків $972 млн (медіанна втрата — $219 000). Tectonic став третьою за величиною атакою з маніпуляцією ціною в історії після Cetus (травень 2025 р.) та Mango Markets (жовтень 2022 р.).

Cronos та Tectonic поки не оголосили, чи будуть вони додатково заморожувати ідентифіковані адреси, скасовувати конкретні транзакції чи вести переговори зі зловмисником. Близько 6 млн доларів США в мережі Ethereum залишаються поза досяжністю дій відкату і є активною частиною справи.

Наразі TRM не пов'язує цей експлойт із конкретними хакерськими угрупованнями, адже наявні докази цього не підтверджують. TRM відстежує позначені адреси та оновлюватиме атрибуцію в міру надходження нових даних.