A Cronos desligou toda a sua blockchain no domingo para conter um ataque ao protocolo de empréstimos DeFi Tectonic, congelando todas as posições na rede no processo.

A Tectonic permite que os usuários depositem cripto para que outros possam pegar emprestado contra garantias postadas, gerando juros em troca. Foi o primeiro protocolo desse tipo a ser lançado na Cronos e continua sendo de longe o maior, detendo quase metade de todo o capital depositado nos aplicativos DeFi da rede. O segundo maior credor na cadeia, Mimas Finance, detém cerca de US$ 30.000, de acordo com o DefiLlama.

Em um tweet, a Cronos observou que havia "identificado um exploit" na Tectonic, acrescentando que havia paralisado a Rede Cronos e forneceria atualizações. Um dia depois, confirmou que a cadeia ainda estava fora do ar, dizendo que estava investigando "com o apoio de equipes de segurança de toda a indústria".

O pesquisador onchain Weilin Li descreveu-o como um "ataque de manipulação de preço no estilo pump-and-borrow do Mango-market", uma referência ao exploit de US$ 100 milhões do Mango Markets em outubro de 2022. O preço do TONIC disparou 100 vezes em 20 minutos, disse ele, antes que o invasor pegasse empréstimos contra ele.

A causa raiz, segundo Li, era simples: a Tectonic atribuiu ao seu próprio token de governança um fator de garantia de 20%, apesar da liquidez muito baixa, permitindo que o invasor retirasse um quinto de uma avaliação que o mercado nunca poderia ter suportado. A liquidez do TONIC está em cerca de US$ 1,34 milhão, pequena o suficiente para que somas modestas movimentem o preço drasticamente. Ele estimou o valor roubado em US$ 66 milhões, depois o revisou para cerca de US$ 75 milhões após identificar um endereço adicional controlado pelo atacante contendo US$ 8 milhões. A empresa de segurança PeckShield chegou a um valor semelhante de cerca de US$ 74 milhões.

A Tectonic detinha cerca de US$ 121,7 milhões em depósitos e US$ 82,7 milhões em empréstimos ativos pouco antes do incidente, de acordo com o DefiLlama, quase metade de todo o capital em Cronos DeFi. Na segunda-feira, esse valor havia caído para aproximadamente US$ 3 milhões, uma queda de 97,5% em 30 dias. Uma análise onchain separada aponta que o total movimentado para fora dos pools é muito maior, cerca de US$ 119,5 milhões, medindo o fluxo de saída bruto em vez dos lucros do atacante.

Por que a cadeia ficou inativa

A paralisação funcionou, pelo menos em termos de contenção. Apenas cerca de US$ 6 milhões dos lucros chegaram ao Ethereum antes que a produção de blocos parasse, disse Li, deixando aproximadamente US$ 60 milhões imobilizados em uma cadeia que não se moveu desde então.

Parte foi estacionada em um pool de exchange descentralizada, o que ele sugeriu ser uma tentativa de evitar a lista negra. Os dados do DefiLlama são consistentes com isso: a maior exchange descentralizada na Cronos ganhou quase US$ 61 milhões em depósitos nas mesmas 24 horas, enquanto as participações DeFi em toda a cadeia caíram 22%.

Foi possível porque a Cronos opera um conjunto de validadores limitado a 100, pequeno o suficiente para coordenar um desligamento rapidamente. A desvantagem é que todo o resto também parou: empréstimos abertos, negociações, pagamentos e posições automatizadas pertencentes a usuários que nunca interagiram com a Tectonic.

O CEO da Crypto.com, Kris Marszalek, disse que a exchange e o aplicativo estavam operando normalmente e que os fundos dos clientes estavam seguros, prometendo uma análise pós-mortem. A Tectonic disse aos depositantes para não interagirem com o protocolo até que confirmasse que era seguro fazê-lo.

Li chamou-o de terceiro ataque no estilo Mango nas últimas semanas, seguindo um na Moonwell, onde a manipulação do token MAMO ilíquido custou um estimado de US$ 8,7 milhões, e outro em um mercado Pendle reUSD que desencadeou aproximadamente US$ 36 milhões em liquidações em 25 de agosto.

Esta não é a primeira violação da Tectonic. O DefiLlama registra dois incidentes anteriores no protocolo, ambos classificados como falhas de lógica do protocolo: um em fevereiro de 2024 que custou US$ 250.000, e outro em novembro de 2024. Ele classifica o ataque de domingo de forma diferente, como manipulação de oráculo realizada através da manipulação de preço à vista, e estima a perda em US$ 75 milhões.

Nem a Cronos nem a Tectonic forneceram um cronograma de reinício, confirmaram um valor final ou disseram se os depositantes serão compensados integralmente.