Tectonic एक्सप्लॉइट पर Cronos का रोलबैक इम्युटेबिलिटी के मिथक को खत्म करता है
30 अगस्त, 2026 को किसी ने Tectonic से लगभग $75 मिलियन निकाल लिए। Tectonic, Crypto.com की Cronos चेन पर सबसे बड़ा लेंडिंग मार्केट है। हमला TONIC की कीमत को कृत्रिम रूप से बढ़ाकर और फुलाए हुए कोलेटरल के बदले उधार लेकर किया गया। कुछ ही घंटों में, वैलिडेटर्स ने पूरे ब्लॉकचेन को रोकने के लिए मतदान किया। ऐप को नहीं। चेन को।
Tectonic एक्सप्लॉइट पर Cronos का रोलबैक पिछले कुछ वर्षों में हमारे सामने आया सबसे साफ परीक्षण है कि एक आधुनिक L1 असल में क्या करेगा जब गंभीर धनराशि गलत दिशा में चली जाए। हॉल्ट पर Decrypt की रिपोर्टिंग के अनुसार, टीम ने प्री-अटैक स्थिति में एक समन्वित फोर्क को अंजाम देते हुए ब्लॉक प्रोडक्शन रोक दी। एक्सप्लॉइट ब्लॉक के बाद हुई हर पोजीशन, हर ट्रेड, हर असंबंधित ट्रांसफर उसी के साथ रिवाइंड हो गई।
मेरा मानना है कि यह इस साल की सबसे महत्वपूर्ण गवर्नेंस घटना है, और लगभग कोई भी इसे सही नजरिए से नहीं देख रहा। यह कोई घोटाला नहीं है। यह कोई विश्वासघात नहीं है। यह वह उत्पाद है जो ठीक उसी तरह काम कर रहा है जैसा वैलिडेटर सेट हमेशा से करने देने वाला था। एकमात्र नई जानकारी यह है कि अब हमारे पास एक सार्वजनिक रसीद है।
TONIC प्राइस मैनिपुलेशन अटैक ने वास्तव में क्या किया
तकनीक उतनी ही उबाऊ है जितने 2026 के अधिकतर DeFi एक्सप्लॉइट होते हैं। Solidity कॉन्ट्रैक्ट में कोई जीरो-डे नहीं था। बस एक लेंडिंग मार्केट था जिसमें एक पतली-लिक्विडिटी वाले टोकन के खिलाफ कोलेटरल फैक्टर उदारता से सेट था, और एक हमलावर था जो जानता था कि ओरेकल बाजार की कीमत पर उससे कहीं ज्यादा भरोसा करने वाला है जितने का वह हकदार था।
घटना पर CoinDesk की रिपोर्ट के अनुसार कुल नुकसान लगभग $75 मिलियन रहा, जिसका अधिकांश हिस्सा TONIC कोलेटरल के बदले उधार लिया गया था जो कुछ क्षणों के लिए कृत्रिम रूप से बहुत अधिक मूल्य का था। हमलावर ने जमा किया, पंप किया, उधार लिया और चला गया। एकदम पाठ्यपुस्तक जैसा।
जो पाठ्यपुस्तक जैसा नहीं था वह था इसके बाद क्या हुआ।
अगस्त 2026 का ब्लॉकचेन चेन हॉल्ट
एक लाइव प्रोडक्शन L1 पर वैलिडेटर-समन्वित रुकावट, जहां वास्तविक संस्थागत उपयोगकर्ता हों, दुर्लभ है। पिछली बार जब हमने इस पैमाने पर ऐसा देखा था जो किसी क्लाइंट बग के कारण नहीं था, वह 2022 में BNB Chain पर था। Cronos का 2026 में ऐसा करना, उस परिपक्वता के साथ जिसका दावा यह स्पेस अब करती है, पूरी बातचीत को नए सिरे से शुरू कर देता है।
कुछ बातें जिनके बारे में सटीक होना जरूरी है:
- यह रुकावट कोई स्मार्ट कॉन्ट्रैक्ट पॉज नहीं थी। Tectonic के पास कोई कार्यशील सर्किट ब्रेकर नहीं था जो नुकसान को रोक सकता। चेन को ही रोक दिया गया।
- रोलबैक उपयोगकर्ता के लिए वैकल्पिक नहीं था। Cronos पर हर एड्रेस की स्थिति फिर से लिखी गई, उन एड्रेस समेत जिनका Tectonic से कोई संबंध नहीं था।
- निर्णय का चक्र हफ्तों में नहीं, घंटों में था। यह इतनी तेज़ी से हुआ कि जो कोई भी वैलिडेटर की चाबियाँ रखता है, वह व्यावहारिक रूप से एक आपातकालीन समिति की भूमिका में है।
इसे जो चाहें नाम दें। मैं इसे सेंसरशिप-प्रतिरोधी नहीं कहूंगा।
Crypto.com Cronos की गवर्नेंस एक समस्या नहीं, एक विशेषता है
यहीं पर शायद मैं आधे श्रोताओं को खो दूं। मुझे वास्तव में नहीं लगता कि Cronos के संदर्भ में यह गलत निर्णय था। इस चेन का सबसे बड़ा उपयोगकर्ता एक विनियमित एक्सचेंज है जो रिटेल ग्राहकों की सेवा करता है। जब एक समन्वित फोर्क उसे वापस ला सकता था, तब $75M को जाने देना उस हितधारक वर्ग के लिए परिचालन दृष्टि से बेतुका होता।
इसकी ईमानदार व्याख्या यह है कि Cronos एक अर्ध-परमिशन-युक्त L1 है जिसमें एक छोटा, एकजुट वैलिडेटर सेट है और एक कॉर्पोरेट प्रायोजक है जिसका ब्रांड जोखिम इस पूरी संरचना को टिकाए हुए है। जब आप इस तरह निर्माण करते हैं, तो आपको ठीक यही मिलता है: तेज़ रिकवरी, वास्तविक जवाबदेही, और एक गवर्नेंस परत जो ज़रूरत पड़ने पर दखल देगी। यह एक वैध डिज़ाइन है। यह वह डिज़ाइन नहीं है जो Cronos की अधिकांश मार्केटिंग ने पिछले चार वर्षों में सुझाई है।
तुलना करें कि यही घटना Ethereum mainnet पर कैसे होती। होती नहीं। सामाजिक परत महीनों तक बहस करती और फंड नब्बे सेकंड में गायब हो जाते।
DeFi कोलैटरल फैक्टर जोखिम असली कहानी है
जो हिस्सा बार-बार सामने आता रहेगा वह रुकावट नहीं है। वह वह सेटअप है जिसने रुकावट को अनिवार्य बना दिया।
TRM Labs ने रिपोर्ट किया कि 2026 में DeFi लेंडिंग पर price manipulation attacks ने सर्वकालिक उच्च स्तर छुआ, और Tectonic अब उस श्रेणी में सबसे बड़ी एकल घटना है। इन हमलों के लिए किसी नई क्रिप्टोग्राफी की जरूरत नहीं होती। जरूरत होती है एक ऐसे lending market की, जो किसी thin-liquidity asset को ऐसे oracle के साथ सूचीबद्ध करे जो उसी thin market को follow करे। यह एक डिज़ाइन निर्णय है, जो इंसानों द्वारा लिया जाता है, अक्सर TVL बढ़ाने के दबाव में।
कुछ असहज सवाल जो builders को खुद से पूछने चाहिए:
- आपका protocol बिना किसी chain-level bailout के अधिकतम कितनी गिरावट झेल सकता है?
- आपके listed collateral assets में से कौन से assets को $2M की push 30 प्रतिशत तक हिला सकती है?
- अगर आपकी L1 कल block production रोक दे ताकि आपको बचाया जा सके, तो क्या आप अभी भी खुद को DeFi कहेंगे?
अगर (3) का जवाब हां है, तो इसे अपने docs में ईमानदारी से दर्ज करें।
जो बात संस्थाएं चुपचाप मांग रही थीं
यह असहज करने वाला हिस्सा है। पिछले दो सालों में जितने भी regulated desks से मैंने बात की है, वे सभी किसी न किसी रूप में वही चाहते हैं जो Cronos ने अभी किया। एक pause button। एक reversibility window। एक named counterparty जिसे वे call कर सकें जब कोई bad block final हो जाए। Public chains एक दशक से उस audience को यह बताती आई हैं कि यह असंभव है, और इस हफ्ते Cronos ने दिखा दिया कि उनके network पर यह बिल्कुल संभव है और बेहद तेज भी।
मैंने कुछ हफ्ते पहले audit stack क्यों टूटा हुआ है इस विषय पर लिखा था, और यह घटना उसी समस्या की अगली कड़ी है। अगर आपकी safety net एक validator vote है जो बाद में होती है, तो आपके पास safety net नहीं है, आपके पास एक bailout policy है। Bailout policies में कोई बुराई नहीं। Central banks के पास भी होती हैं। बस उन्हें वही नाम दें जो वे हैं।
आगे का सवाल यह है कि क्या अन्य मिड-कैप L1s इस रणनीति की नकल करेंगे, अगली बार जब उनके किसी प्रमुख ऐप को drain किया जाए। मेरा अनुमान है कि उनमें से अधिकांश ऐसा करेंगे। और बारह महीनों के भीतर, कम से कम एक प्रमुख L1 सार्वजनिक रूप से एक आपातकालीन रोलबैक प्रक्रिया को औपचारिक रूप देगा, जिसमें एक समिति, एक थ्रेशोल्ड और एक लिखित SLA होगा। उस बिंदु पर हम यह दिखावा करना बंद कर सकते हैं कि "विकेंद्रीकृत" शब्द का हर चेन पर एक ही अर्थ होता है, और उन्हें उस तरह से वर्णित करना शुरू कर सकते हैं जैसा बाजार पहले से उनकी कीमत लगाते हैं: इस आधार पर कि किन इंसानों को फैसला करने का अधिकार मिलता है।
यह पोस्ट एक टिप्पणी है, न कि वित्तीय या कानूनी सलाह। एक्सप्लॉइट और रोलबैक के बारे में तथ्य नीचे उद्धृत स्रोतों से लिए गए हैं।