El mayor protocolo de préstamos en Cronos perdió 75 millones de dólares tras un repentino aumento del precio de TONIC.

El ataque al mayor protocolo de préstamos en Cronos terminó con un escenario raro en blockchains: el atacante obtuvo activos por aproximadamente $75 millones, tras lo cual los validadores detuvieron la red y devolvieron el estado de toda la cadena al momento anterior al incidente. Esa medida anuló la mayor parte de las operaciones del atacante junto con otras transacciones realizadas después del punto de restauración elegido.

El incidente ocurrió el 30 de agosto y afectó a Tectonic, el mayor protocolo de préstamos en la red Cronos. El atacante aprovechó la muy baja liquidez del token de gobernanza TONIC. En unos 20 minutos el precio de TONIC se disparó casi 100 veces. Tras el pico, el atacante depositó tokens sobrevalorados como garantía y pidió prestados activos mucho más líquidos de los pools de crédito.

La magnitud de la garantía no se correspondía con el mercado real de TONIC. Una semana antes del ataque, el volumen de operaciones del token era de unos $305.000, mientras que los activos obtenidos con esa garantía se valoraron en aproximadamente $75 millones, es decir, 245 veces más que el volumen semanal. Tectonic permitía usar TONIC como colateral con un factor de garantía del 20%. El código del protocolo aplicó las reglas establecidas, pero el sistema de valoración del colateral confió en un precio que se podía mover relativamente barato en un mercado de baja liquidez.

Cronos detuvo la emisión de bloques pocos minutos después de detectar el incidente. El último bloque antes de la detención fue el 90.907.150. Para entonces el atacante ya había transferido a Ethereum alrededor de $6 millones, posteriormente convertidos en aproximadamente 2592 ETH. Los activos restantes en Cronos, por un valor aproximado de $68,7 millones, quedaron bloqueados dentro de la red detenida.

Los validadores decidieron no solo reanudar el servicio, sino restaurar el estado de Cronos al punto anterior al ataque. La red reanudó la emisión de bloques desde la altura 90.896.189. En la práctica, la cadena descartó casi 11.000 bloques y alrededor de dos horas de historia. Las transacciones del atacante en Cronos desaparecieron junto con otras operaciones de ese intervalo, por lo que aproximadamente el 92% de los activos retirados de Tectonic se logró recuperar a nivel del estado de la cadena. Los fondos ya transferidos a Ethereum no podían verse afectados por el retroceso de Cronos.

El esquema recuerda al reciente ataque a Moonwell, donde el atacante también infló el precio de un token de baja liquidez y obtuvo la posibilidad de pedir prestados activos reales con un colateral artificialmente sobrevaluado. Un ejemplo todavía más conocido ocurrió con Mango Markets en 2022, cuando la manipulación del precio de MNGO permitió retirar más de $100 millones.

Según TRM Labs, en 2026 ya se registraron 32 ataques por manipulación de precios, más que en cualquier año anterior de observación. Actualmente ese mecanismo representa aproximadamente una de cada ocho intrusiones en criptomonedas, frente a una de cada diecisiete en 2022. Tectonic fue el tercer mayor ataque de este tipo en toda la historia de observaciones de TRM Labs.

El daño final a Tectonic sigue siendo objeto de cálculo. Se suele citar una estimación de alrededor de $75 millones, aunque un análisis separado de las transacciones señaló salidas de hasta $119,5 millones antes de contabilizar liquidaciones y la deuda generada. Tras el retroceso, fuera de Cronos quedaron directamente alrededor de $6 millones. Tectonic y Cronos aún no han publicado un análisis técnico completo de las causas del ataque ni la decisión sobre el retroceso de la red.