四天3條鏈接連當機 僅克羅諾斯(CRO)選擇回滾

克羅諾斯(Cronos, CRO)、本體鏈(Ontology, ONT)與ICON(ICX)三個網路，在短短四天內接連停止產生區塊，讓區塊鏈系統中「緊急權限」的界線再度成為焦點。

三個網路的應對方式各不相同。克羅諾斯在Tectonic協議遭到攻擊後，透過驗證者共識暫停網路，並把鏈上狀態回滾到攻擊發生之前；本體鏈則是在確認惡意活動之前，就先預防性地停止產生區塊；ICON是先凍結遭攻擊的合約，再讓整個網路停止運作。

三者的核心差異，在於是否更動了既有帳本。克羅諾斯改變了部分已經確定的鏈上狀態，本體鏈維持既有帳本不變、只是暫停處理新交易，ICON則是在全網停止之前，已有部分資產轉入交易所的託管範圍。

克羅諾斯在X（Twitter）公告中表示，已於台灣時間8月31日上午7時49分1秒（韓國時間8時49分1秒）、在區塊高度9,089萬6,189重新開始產生區塊。克羅諾斯將此舉定調為經驗證者共識同意的緊急措施，並說明已把鏈上狀態回復到Tectonic遭攻擊之前的狀態。

這項回滾不只排除了與攻擊直接相關的狀態，連恢復點之後發生、與攻擊無關的其他交易，也一併從重新啟動的主鏈紀錄中消失。在區塊鏈的世界裡，「回滾」意味著把特定時間點之後的紀錄從正式帳本中移除，因此難免在資安應變與交易最終性之間製造矛盾。

這起事件的爭議點，與其說是損失金額大小，不如說是權限邊界劃在哪裡。區塊鏈分析公司TRM Labs估計，此次攻擊影響的資產規模約7,500萬美元（約合韓幣1,012億元），其中約600萬美元（約合韓幣81億元）已經轉往以太幣(ETH)。換句話說，克羅諾斯的回滾雖能影響仍留在鏈上的資產狀態，卻管不到已經移出、換成以太幣的部分。

本體鏈的做法比較接近「先爭取時間」。本體鏈在8月31日的官方公告中指出，核心開發團隊在例行資安檢查時發現潛在風險，因此立即暫停主網產生區塊。9月1日的追加公告則說明，已確認存在惡意攻擊行為，但使用者資產並未受到損失。

本體鏈並沒有取消已經確定的鏈上狀態，只是暫停了新交易的確認與結算。不過公告內容並未具體說明，究竟由誰擁有下令緊急停止的最終權限、判斷標準是什麼、又需要多少驗證者共識門檻。對使用者來說，比起資產損失，先感受到的其實是轉帳與鏈上結算延遲的不便。

ICON的案例則證明，網路停止運作不代表就能擋下損失。ICON基金會在事後報告中指出，攻擊者在台灣時間8月27日上午10時1分2秒到10時21分12秒（韓國時間11時1分2秒至11時21分12秒）之間，重複發送兩筆過去曾經有效的簽名提款訊息，總共嘗試1,492次，其中1,490次呼叫成功，導致基金會資產池中的1億1,986萬6,000枚ICX與53萬1,600枚bnUSD轉入攻擊者的錢包。

ICON的監控警報在攻擊發生後7分鐘內就已觸發，但技術調查一直到台灣時間上午11時40分（韓國時間中午12時40分）左右才啟動，相關合約則在台灣時間上午11時53分（韓國時間中午12時53分）遭到凍結。各交易所自台灣時間下午1時54分（韓國時間下午2時54分）起暫停ICX的存提款，全網停止運作的時間點是台灣時間下午2時18分54秒（韓國時間下午3時18分54秒）。ICON已於台灣時間8月28日下午3時51分（韓國時間下午4時51分）左右恢復運作。

ICON基金會表示，受影響的資產全部屬於基金會本身持有，一般用戶的存款、餘額與部位並未受到波及。根據報告內容，53萬1,600枚bnUSD與136萬6,000枚SODA已經全數追回；11萬3,634枚美元硬幣(USDC)中，8萬2,430枚已追回，另外3萬1,204枚尚未追回。最終確定的淨損失約為150.2枚以太幣與3萬1,204枚美元硬幣。

三起事件雖然都以「停止產生區塊」的形式出現，結果卻各不相同。克羅諾斯用回滾鏈上紀錄的方式，降低了留在主鏈內部的風險；本體鏈靠暫停交易處理，替調查與升級爭取了時間；ICON雖在攻擊後讓網路停擺，但早已轉入交易所託管範圍的資產，鏈上營運方已很難直接掌控。

停止產生區塊，指的是不再產生新的區塊；回滾則是把特定時間點之後的鏈上狀態從正式紀錄中排除。兩種手法都屬於緊急應變，但對使用者造成的影響並不相同：前者帶來交易延遲與服務中斷，後者則讓交易最終性本身出現疑問。

對台灣的投資人來說，這幾起事件的意義同樣不小。主網停擺從來不只是單純的系統故障，而是把交易最終性、跨鏈橋資產、中心化交易所託管與驗證者權限等問題一次攤在陽光下。此前，Harmony協議也曾在遭遇大規模漏洞攻擊後推動網路回滾，顯示資安事件發生後，鏈上紀錄究竟能回溯到什麼程度，始終是反覆出現的爭議焦點。

各個網路接下來必須公開的重點在於：究竟是誰做出停止運作的決定、依據什麼標準選擇回滾或暫停、以及對已經流出鏈外的資產由誰負責。克羅諾斯與Tectonic協議的最終損失統計與事後報告，目前都還沒有對外公布。