Cronos(CRO), 텍토닉 7,500만 달러 해킹에 체인 정지 후 롤백

7,500만 달러 TONIC 해킹, Cronos 네트워크 마비

Crypto.com이 2021년 출시한 블록체인 dapp 생태계 Cronos(CRO)가 일요일 블록 생성을 멈췄다. 공격자가 네트워크 최대 렌딩 프로토콜 Tectonic을 노린 해킹으로, 온체인 연구자들은 피해 규모를 약 7,500만 달러로 추산한다. 공격 수법은 익숙한 시나리오를 따랐다. Tectonic은 자체 거버넌스 토큰 TONIC을 담보 인정비율 20%로 담보로 받았다. 즉 프로토콜이 인정하는 가치 100달러당 약 20달러의 대출이 가능한 구조였다. 온체인 연구자 Weilin Li에 따르면 공격자는 약 20분에 걸쳐 TONIC 가격을 대략 100배로 끌어올린 뒤, 조작된 가격이 반영된 토큰을 예치하고 실제 자산을 대출해 가져갔다. 가짜 가격으로 진짜 담보를 인출하는 Mango Markets식 오라클 조작이다. 탈취 자산 중 이더리움상 wallet address로 도달한 금액은 약 600만 달러에 불과했고, 이후 밸리데이터들이 블록 생성을 중단하며 네트워크 전체가 동결됐다. 보안 업체 PeckShield는 초기 피해액을 약 7,400만 달러로 추산했고, Tectonic의 공식 X 게시물은 조사가 진행되는 동안 프로토콜상 모든 활동을 중단할 것을 사용자들에 요청했다. 밸리데이터들은 이후 체인을 해킹 이전 상태로 되감아 블록 생성을 재개했는데, 도난 자금 인출 도중에 이를 막기 위해 원장 기록 일부를 지운 셈이다. 이 동결로 밸리데이터 그룹이 롤백을 조율하는 몇 시간 동안 Cronos 렌딩 시장 전반의 사용자 예치금이 잠겼다. Cronos와 Tectonic 어느 쪽도 최종 피해액을 확정하지 않았고 상세한 원인 규명 발표도 없다. 시장 반응은 빨랐다. CRO는 24시간 동안 6% 하락했고, 자금은 체인의 DeFi 2.0 시장에서 이탈했다. Tectonic 하나만으로도 8월 26일 기준 총예치자산(TVL)이 약 1억 2,170만 달러, Cronos 전체 예치금의 절반에 가까운 규모였으나 월요일에는 약 300만 달러로 무너졌다. Tectonic의 지배력은 그 뿌리에서 비롯된 것이다. 프로토콜의 라이트페이퍼는 Particle B, 즉 지금의 Cronos Labs를 인큐베이터로 명시하고 있다.

Crypto.com과 깊은 연고, 거버넌스 논란

이번 해킹은 수년간 리테일 고객을 Tectonic으로 유도해 온 Crypto.com에 특히 곤란한 국면이다. 거래소는 자사 상품 페이지에서 TONIC을 상장하고 20개 이상 법정화폐로 매수를 홍보했으며, TONIC 결제가 가능한 Visa 카드를 8,000만 개 판매점에서 사용할 수 있다고 광고했다. Crypto.com의 DeFi Wallet은 TONIC 스테이킹을 원클릭으로 접근 가능하게 하고 락업 없이 연 최대 100% 수익률을 내세워 마케팅했고, Earn 프로그램은 수익 자동 복리 안내서를 단계별로 게시했다. 이런 프로모션 덕분에 Crypto.com은 해당 프로토콜로 들어가는 최대 리테일 진입로 중 하나가 됐다. 오라클 구조 자체가 조작을 가능하게 만들었다. Tectonic 개발자 문서에 따르면 TONIC 달러 가격의 데이터 소스는 VVS Finance와 Crypto.com 단 두 곳뿐이어서, 거래가 말라붙었을 때 독립적인 기준 가격이 남지 않았다. Crypto.com의 연고는 마케팅을 넘는다. 5억 달러 규모의 투자 부문이 Tectonic의 인큐베이터인 Cronos Labs의 전략적 파트너다. CEO Kris Marszalek은 회사의 앱과 거래소는 침해되지 않았으며 보안팀이 조사를 지원하고 있다고 밝혔다. 그러나 이번 사태는 Cronos chain governance와 네트워크 합의 메커니즘을 둘러싼 신뢰 문제에 무게를 더한다. Cronos는 스스로 퍼미션리스라고 소개하지만, 공식 문서는 33개 밸리데이터가 초청으로만 참여하며 신규 지원은 받지 않고 있다고 명시한다. 같은 다수 지배력은 2025년 3월에도 발휘됐다. 네트워크가 2021년 영구 소각했던 700억 CRO를 다른 대형 보유자들 거의 전원의 반대에도 불구하고 재발행한 것이다. 2022년 2월 이전 CRO는 Crypto.com Coin이라는 이름으로 거래됐으며, 온체인 분석에 따르면 Cronos 프로토콜 전체의 TVL은 2022년 이후 92% 감소했다.

피해액 확정은 온체인 검증 대기 중

COINOTAG가 보기에 이번 사태의 본질은 오라클 취약성과 집중된 권력의 결합이다. 같은 주 Base의 Moonwell도 얇게 거래되는 MAMO 담보에 대한 유사 조작으로 약 870만 달러를 잃었고, 얇은 Pendle 시장에서 3% 가격 움직임이 Morpho에서 약 3,600만 달러의 청산을 촉발했다. 저유동성 토큰 담보는 이 업계의 반복되는 공격 표면이 되고 있다. Cronos를 구별 짓는 것은 처방이다. 초청제 밸리데이터 그룹만 실행할 수 있는 원장 전체 롤백으로, 우리의 Cronos 네트워크 중단 보도가 상세히 다뤘다. 어느 쪽 팀도 피해액을 확정하지 않았고 근본 원인 분석 보고서도 나오지 않았다. 따라서 7,400만 달러 추산치는 온체인 증거와 공식 인시던트 보고서가 나오기 전까지 잠정적인 상태다. 이미 Trump Media의 1억 9,000만 달러 암호화폐 손실로 압박받던 알트코인 CRO에게 지금 가장 큰 제약은 신뢰다.