Cronos apagó toda su blockchain el domingo para contener un ataque al protocolo de préstamos DeFi Tectonic, congelando todas las posiciones en la red en el proceso.

Tectonic permite a los usuarios depositar criptomonedas para que otros tomen préstamos contra garantías publicadas, obteniendo intereses a cambio. Fue el primer protocolo de este tipo en lanzarse en Cronos y sigue siendo, con mucho, el más grande, albergando cerca de la mitad de todo el capital depositado en las aplicaciones DeFi de la red. El siguiente prestamista más grande en la cadena, Mimas Finance, posee unos 30.000 dólares, según DefiLlama.

En un tuit, Cronos señaló que había "identificado una vulnerabilidad" en Tectonic, añadiendo que había detenido la red Cronos y que proporcionaría actualizaciones. Un día después, confirmó que la cadena seguía caída, afirmando que estaba investigando "con el apoyo de equipos de seguridad de toda la industria".

El investigador onchain Weilin Li lo describió como un "ataque de manipulación de precios de tipo 'pump-and-borrow' al estilo Mango Markets", en referencia al exploit de 100 millones de dólares de Mango Markets en octubre de 2022. El precio de TONIC se disparó 100 veces en 20 minutos, dijo, antes de que el atacante pidiera préstamos contra él.

La causa principal, según Li, era simple: Tectonic asignó a su propio token de gobernanza un factor de garantía del 20% a pesar de una liquidez muy escasa, lo que permitió al atacante extraer una quinta parte de una valoración que el mercado nunca habría podido soportar. La liquidez de TONIC asciende a aproximadamente 1,34 millones de dólares, lo suficientemente pequeña como para que sumas modestas muevan el precio drásticamente. Él estimó el botín en 66 millones de dólares, luego lo revisó a unos 75 millones de dólares después de identificar una dirección adicional controlada por el atacante que contenía 8 millones de dólares. La empresa de seguridad PeckShield llegó a una cifra similar de unos 74 millones de dólares.

Tectonic mantenía unos 121,7 millones de dólares en depósitos y 82,7 millones de dólares en préstamos activos poco antes del incidente, según DefiLlama, cerca de la mitad de todo el capital en Cronos DeFi. Para el lunes, eso se había reducido a aproximadamente 3 millones de dólares, una caída del 97,5% en 30 días. Un análisis onchain separado sitúa el total retirado de los pools mucho más alto, en unos 119,5 millones de dólares, midiendo el flujo de salida bruto en lugar de las ganancias del atacante.

Por qué la cadena se apagó

La detención funcionó, al menos en términos de contención. Solo unos 6 millones de dólares de las ganancias llegaron a Ethereum antes de que se detuviera la producción de bloques, dijo Li, dejando aproximadamente 60 millones de dólares inmovilizados en una cadena que no se ha movido desde entonces.

Parte de ello fue aparcado en un pool de intercambio descentralizado, lo que, sugirió, era un intento de evitar ser incluido en listas negras. Los datos de DefiLlama son consistentes con esto: el intercambio descentralizado más grande en Cronos ganó cerca de 61 millones de dólares en depósitos durante las mismas 24 horas, mientras que las tenencias de DeFi en toda la cadena cayeron un 22%.

Fue posible porque Cronos opera con un conjunto de validadores limitado a 100, lo suficientemente pequeño como para coordinar un apagado rápidamente. La contrapartida es que todo lo demás también se detuvo: préstamos abiertos, operaciones, pagos y posiciones automatizadas pertenecientes a usuarios que nunca interactuaron con Tectonic.

El CEO de Crypto.com, Kris Marszalek, dijo que el exchange y la aplicación estaban operando con normalidad y que los fondos de los clientes estaban seguros, prometiendo un análisis post-mortem. Tectonic indicó a los depositantes que no interactuaran con el protocolo hasta que confirmara que hacerlo era seguro.

Li lo calificó como el tercer ataque al estilo Mango en las últimas semanas, siguiendo a uno en Moonwell, donde la manipulación del ilíquido token MAMO costó unos 8,7 millones de dólares, y otro en un mercado de Pendle reUSD que desencadenó aproximadamente 36 millones de dólares en liquidaciones el 25 de agosto.

No es la primera brecha de Tectonic. DefiLlama registra dos incidentes anteriores en el protocolo, ambos clasificados como fallos de lógica del protocolo: uno en febrero de 2024 que costó 250.000 dólares, y otro en noviembre de 2024. Clasifica el ataque del domingo de manera diferente, como manipulación de oráculos llevada a cabo a través de la manipulación del precio al contado, y estima la pérdida en 75 millones de dólares.

Ni Cronos ni Tectonic han dado un plazo de reinicio, confirmado una cifra final, o dicho si los depositantes serán compensados.