Cronos, Fogo и Cosmos одна за одной останавливают работу сетей: последняя линия защиты в мире криптовалют — «отключение сети»

Автор: Сяо Бин

30 августа валидаторы Cronos заморозили всю блокчейн-сеть.

За 24 часа до этого то же самое сделала сеть Fogo, а неделей ранее Cosmos Labs направила экстренное уведомление всем сетям, использующим их модуль EVM: либо обновляйтесь, либо останавливайте работу.

Три совершенно разных вектора атаки, три разные структуры ончейн-управления, но в конечном итоге все привели к одному аварийному сценарию — остановке сети.

Когда наступает настоящий кризис, «последняя линия обороны» децентрализованных сетей и планы действий по предупреждению и ликвидации чрезвычайных ситуаций традиционных интернет-компаний не сильно отличаются друг от друга: во всех случаях решение одно — выдёргивается шнур (отключается сеть).

75 млн долларов за 20 минут

То, что произошло в Cronos, ощущается как классический учебный пример повторяющихся сценариев.

Злоумышленники выбрали протокол кредитования Tectonic, крупнейшую и практически единственную на Cronos lending-платформу, TVL которой составляет около 121,7 млн долларов, занимая 46% всего запертого капитала DeFi в сети. Точкой опоры для манипулятивного рычага стал управленческий токен Tectonic TONIC — актив с крайне низкой ликвидностью.

Метод довольно архаичный: за примерно 20 минут цена токена TONIC была раздушена примерно в 100 раз, после чего эти «раздутые» токены были использованы в качестве залога для вывода реальных средств из кредитных пулов в виде таких надёжных активов, как cbBTC, USDC и WETH.

Ончейн-исследователь Weilin Li оценил позицию атакующих примерно в 364,6 триллиона TONIC. При коэффициенте залога 20% оценочная стоимость позиции после манипуляции должна была достичь около 375 млн долларов, чтобы обеспечить займ на сумму около 75 млн долларов. Эта цифра полностью совпадает с 100-кратным ростом цены.

Валидаторы Cronos отреагировали быстро. К моменту заморозки сети атакующие смогли перевести через межсетевой мост только около 6 млн долларов в Ethereum, а оставшиеся 60 млн долларов оказались заблокированы в цепи, которая уже прекратила генерацию блоков.

Генеральный директор Crypto.com Кри Маршалек сразу же опубликовал заявление в X: приложение и биржа Crypto.com не пострадали, команда безопасности участвует в расследовании.

Это был успешный шаг по ограничению убытков, который также обнажил неловкую реальность: именно благодаря небольшому количеству валидаторов Cronos смог осуществить скоординированную остановку столь быстро.

Cronos основан на консенсусе Tendermint, лимит валидаторов составляет 100 человек, а фактическое количество активных узлов ещё меньше. Это делает срочную координацию высокоэффективной, но одновременно придаёт термину «децентрализация» несколько двусмысленный оттенок.

Ещё в октябре 2022 года Аврахам Айзенберг применил почти идентичный метод для вывода более 100 млн долларов из работающей в Solana протокола Mango Markets.

Методология была точь-в-точь такой же: манипуляция ценой низколиквидного токена MNGO, затем использование искусственно завышенного залога для получения реальных активов. Позже Айзенберг был арестован и осуждён по обвинению в мошенничестве с товарными активами. Прецедент установлен: даже если атакующий технически следует правилам самого протокола, манипулирование стоимостью токенов DeFi является уголовным преступлением.

Тремя днями ранее кредитный протокол Moonwell в сети Base также понёс убытки примерно на 8,7 млн долларов из-за абсолютно аналогичного вектора атаки. Атакующие манипулировали ценой низколиквидного токена MAMO и вывели из системы cbBTC и USDC. Это уже третье связанное с оракулами событие по безопасности на Moonwell за 11 месяцев.

Сценарий Mango Markets ставится снова и снова: от 2022 до 2026 года сменились три сети и три названия токенов, но базовая логика осталась неизменной.

Приём низколиквидных токенов в качестве залога в DeFi-протоколах кредитования напоминает ситуацию, когда банк принимает в залог картину без экспертной оценки: её заявленная цена не имеет значения, важнее лишь факт её реальной продажи.

Сеть работала штатно, остановка последовала через 15 часов

Случай с Fogo представляет ещё больший интерес.

Вечером 29 августа (в 21:13 по восточному времени США) фонд Fogo сообщил в X, что неизвестный злоумышленник «взломал» фонд, в результате чего 400 млн токенов FOGO были переведены на счета мошенников. Фонд оповестил биржи и правоохранительные органы, подчеркнув при этом, что «сам блокчейн Fogo не пострадал и продолжает работать в штатном режиме».

400 млн токенов FOGO составляют 4% от начального общего предложения (10 млрд), но более 10% от текущего обращаемого предложения. При цене FOGO около 0,0075 доллара на момент инцидента их стоимость составила порядка 3 млн долларов. Цифра небольшая, но внезапный перехват 10% оборачиваемости в руки атакующего вполне способен создать системный риск для L1-блокчейна с изначально невысокой капитализацией.

Примечательна реакция биржи Bitget: она приостановила пополнение и вывод токенов FOGO примерно за час до официального заявления проекта, сославшись на «техническое обслуживание кошельков». За ней последовала KuCoin. Чувство бирж всегда тоньше, чем официальные анонсы проектов.

Однако ключевым стало то, что произошло дальше: ровно через 15 часов после заявления фонда о том, что «сеть работает нормально», Fogo остановила основную сеть. В объявлении говорилось, что пауза нужна для предотвращения дальнейших переводов затрагиваемых активов, а валидаторы обновят сеть, чтобы «ограничить адресную активность, связанную с несанкционированными действиями».

От слов «всё в порядке» до «выдёргивания шнура» прошла буквально одна ночь.

Фонд до сих пор не раскрыл вектор атаки и не объяснил, происходили ли украденные токены из операционной казны или из финансовых резервов. Более фундаментальный вопрос заключается в другом: если Fogo способна остановить всю сеть и заморозить конкретные адреса посредством координации валидаторов, то как вообще следует определять уровень её децентрализации?

Один баг, шесть сетей, четыре месяца

История с Cosmos EVM пугает своим масштабным характером.

Речь идёт не об уязвимости конкретной сети, а о уязвимости уровня цепочки поставок, присущей общему репозиторию кода. Cosmos EVM — это open-source модуль, позволяющий блокчейнам на базе Cosmos SDK выполнять смарт-контракты, совместимые с Ethereum. Любая сеть, интегрировавшая этот модуль, унаследовала одну и ту же программную ошибку.

Уязвимость представляет собой ошибку недостатка целочисленного типа (integer underflow): когда сумма делегирования блокированного аккаунта (vesting account) превышает его доступный для использования баланс, система не выдаёт ошибку, а позволяет балансу «переполниться» обратно до максимального возможного значения, близкого к 2^256. Атакующему не нужны права администратора — достаточно сконструировать специальный транзакционный запрос, чтобы любой счёт внезапно обрёл практически бесконечный баланс.

Хронология событий вызывает беспокойство.

25 апреля исследователь сообщил об этой уязвимости через программу вознаграждений за найденные ошибки Cosmos Labs. Команда тестирования пришла к выводу, что продакшн-сети не подвержены риску. Патч был выпущен как обычное обновление, не помеченный как критический для безопасности; не было опубликовано никаких уведомлений об уязвимостях, а операторы downstream-сетей даже не были проинформированы.

13 августа внутренняя команда подтвердила затронутость всех сетей на базе Cosmos EVM. Версия с исправлением вышла 19 августа. Уже 20 августа, ровно спустя день после релиза патча, первая атака обрушилась на сеть MANTRA. В течение следующих пяти дней вредоносная активность распространилась на ещё пять сетей, включая MANTRA, TAC и KiiChain, причинив общий ущерб около 5,72 млн долларов.

Во время реагирования на инцидент Cosmos Labs связалась с 40 сетями и обнаружила 11 развертываний Cosmos EVM, которых ранее не значилось ни в одном официальном реестре. Тот факт, что в экосистеме со более чем 115 публичными блокчейнами разработчик модуля не знает, кто именно использует его код, сам по себе пугает больше самой дыры в безопасности.

24 августа Cosmos Labs опубликовала открытое заявление в X, рекомендовав всем сетям, использующим модуль Cosmos EVM, обязать валидаторов прекратить работу. Исправление носит статус нарушения состояния (state-breaking) и требует скоординированного обновления; тем проектам, которые не могут обновиться немедленно, было рекомендовано просто остановить свои сети.

Это случалось и раньше. Ещё в январе 2026 года хакеры использовали ту же уязвимость в предкомпилируемом контракте ICS20 из данного репозитория, похитив около 7 млн долларов из EVM-сети Saga. Один и тот же набор исходного кода, один и тот же год — два крупных инцидента по безопасности цепочки поставок.

Модель открытого исходного кода даёт огромные преимущества в скорости разработки, но в плане безопасности подразумевает также: одна ошибка может распространяться по всей экосистеме словно эпидемия. В традиционной IT-индустрии существуют отлаженные механизмы реагирования, такие как идентификаторы CVE, обязательные уведомления об уязвимостях и сроки выпуска патчей для пользователей. В данном случае Cosmos Labs пропустила почти все эти шаги.

Одно свойство, две интерпретации

В своём репортаже об остановке Cronos издание BeInCrypto процитировало точную формулировку: сеть, которую можно отключить, также является сетью, из которой можно вернуть средства.

После остановки Cronos токен CRO, парадоксальным образом, вырос ещё на 4–5%. Рынок расценивает это как «удачное ограничение убытков». Примерно 60 млн долларов украденных средств по-прежнему заперты внутри блокчейна; в случае выбора валидаторами стратегии отката или добавления в чёрный список эти деньги теоретически могут быть возвращены. Однако вкладчики Tectonic до сих пор не получили никаких гарантий возврата средств.

После остановки сети Fogo цена токена FOGO рухнула на 18–20%. Возможность заморозить 400 млн токенов, находящихся в руках атакующих, зависит исключительно от технического смысла фразы «ограничение адресной активности», которую проект Fogo пока никак не раскрыл. Кроме того, 26 сентября ожидается новая разблокировка примерно 1,54 млрд FOGO (15,44% от общего предложения). Столь неудачное стечение обстоятельств ещё больше подрывает рыночное доверие.

В случае с Cosmos EVM последствия проявились по-разному. MANTRA возобновила генерацию блоков примерно через 30 часов после остановки, заявив, что балансы пользователей не пострадали. TAC остановила генерацию блоков на высоте 24 671 475 22 августа и на момент написания статьи всё ещё не восстановилась. KiiChain подтвердил получение 18 атак, в результате которых потерял около 148 млн KII.

Перед лицом одной и той же уязвимости три сети пошли тремя разными путями.

В первой половине 2026 года компания Blockaid зафиксировала убытки от инцидентов безопасности в блокчейнах свыше 1,1 млрд долларов, охватывающих 212 случаев. Статистика CertiK ещё выше: 344 инцидента и потери примерно в 1,31 млрд долларов, что превышает совокупный показатель за весь 2025 год.

Эти цифры рисуют чёткую картину: безопасность криптографических сетей не улучшается, а стремительно деградирует.

Тактики злоумышленников постоянно тиражируются и эволюционируют, тогда как защитные механизмы не поспевают за ними. Оракульное ценообразование низколиквидных токенов и аудит безопасности общих репозиториев остаются двумя системными слабостями архитектуры.

Единственный гарантированный вариант спасения сводится к тому, чтобы «просто остановить сеть». Сам этот выбор сигнализирует о следующем: безопасностная архитектура текущего поколения крипто-сетей ещё далёка от готовности реализовывать декларируемую концепцию взаимодействия без доверия. Вопрос о том, что делать после остановки — откат назад, внесение в чёрный список или запуск с исходными параметрами — каждый из этих вариантов несёт собственные последствия и создаёт прецеденты. Это не техническая задача, а вопрос управления сообществом (governance), которое, как известно, является наименее проработанной и наименее открытой для публичного обсуждения стороной криптопространства.