Chronos y Tectonic: un ataque de 75 millones de dólares paraliza por completo la cadena de bloques

La red blockchain Cronos, operada por Crypto.com, detuvo inmediatamente la generación de bloques en toda la cadena el domingo, tras un ataque de hacking al protocolo de préstamos DeFi Tectonic. Tectonic era el primer protocolo de préstamos DeFi en la red Cronos, y el servicio más grande, representando casi la mitad de los depósitos DeFi en toda la cadena. Justo antes del incidente, los depósitos en Tectonic ascendían a aproximadamente 121.7 millones de dólares, y los préstamos activos a unos 82.7 millones de dólares. La posición de Tectonic era abrumadora, ya que los depósitos en Mimas Finance, el segundo protocolo de préstamos más grande, eran de apenas 30,000 dólares. El ataque utilizó el mismo método de manipulación de precios y préstamos que el incidente de Mango Markets en octubre de 2022, que causó pérdidas de aproximadamente 100 millones de dólares. Según el investigador on-chain Weilin Li, el atacante aumentó el precio del token de gobernanza TONIC, que tenía una liquidez de apenas 1.34 millones de dólares, en un factor 100 en solo 20 minutos, y luego retiró una gran cantidad de fondos basándose en el valor de garantía inflado. La causa raíz fue que Tectonic aplicó una tasa de garantía del 20% a su propio token de gobernanza, que tenía una liquidez extremadamente baja. Esto significaba que se aceptaba como garantía una quinta parte de un valor de mercado que el mercado no podía sostener realmente. Las pérdidas se estimaron inicialmente en 66 millones de dólares, pero se revisaron a aproximadamente 75 millones de dólares después de que se confirmaran 8 millones de dólares adicionales en direcciones controladas por el atacante. La empresa de seguridad PeckShield también proporcionó una cifra similar de aproximadamente 74 millones de dólares. Un análisis on-chain independiente estimó que el total de fondos extraídos del pool era de aproximadamente 119.5 millones de dólares. El equipo de Cronos pudo detener rápidamente la cadena porque la red opera con un conjunto limitado de 100 validadores. Esto permitió contener en cierta medida el daño, pero antes de que se detuviera la cadena, aproximadamente 6 millones de dólares se transfirieron a Ethereum a través de un puente, y los aproximadamente 60 millones de dólares restantes permanecen bloqueados en la cadena Cronos. Se cree que algunos de los fondos se depositaron en pools de exchanges descentralizados para evitar ser incluidos en listas negras, y durante este período, aproximadamente 61 millones de dólares entraron en el exchange descentralizado más grande de Cronos en un período de 24 horas. Debido a la interrupción de la cadena, todos los préstamos, transacciones y posiciones automatizadas de usuarios que no están relacionados con Tectonic también se detuvieron. El CEO de Crypto.com, Kris Marszalek, afirmó que el exchange y la aplicación funcionan con normalidad y que los fondos de los clientes son seguros, y prometió un informe de análisis posterior al incidente. Tectonic instó a los depositantes a no interactuar con el protocolo hasta que se complete la verificación de seguridad. Este no es el primer incidente de seguridad que sufre Tectonic, ya que se registraron errores en la lógica del protocolo en febrero de 2024 (250,000 dólares) y en noviembre de 2024. Ni Cronos ni Tectonic han publicado aún una declaración oficial sobre el cronograma de reactivación de la cadena, la cantidad final de pérdidas, o si se compensarán las pérdidas de los depositantes.