A rede blockchain Cronos interrompeu totalmente a produção de seus blocos após a confirmação de um exploit na Tectonic, o maior protocolo de empréstimos descentralizados do seu ecossistema. A paralisação emergencial congelou todas as posições da rede para conter a sangria de recursos.
A Tectonic permite que usuários depositem criptomoedas para oferecer empréstimos e obter rendimentos. Responsável por quase metade do valor alocado na Cronos, a plataforma acumulava US$ 121,7 milhões em depósitos e US$ 82,7 milhões em empréstimos ativos antes do incidente. Com o ataque, o valor total depositado desabou cerca de 97,5%, caindo para aproximadamente US$ 3 milhões. O segundo maior protocolo do ecossistema, o Mimas Finance, detém apenas US$ 30 mil.
O ataque foi descrito pelo pesquisador on-chain Weilin Li como uma manipulação de preços do tipo “pump-and-borrow”, semelhante ao caso da Mango Markets. O token de governança TONIC teve sua cotação inflacionada em 100 vezes em apenas 20 minutos.
Com a alta artificial, o invasor utilizou esses ativos como garantia para tomar empréstimos volumosos, concretizando o exploit na Tectonic.
Entenda a falha que levou ao exploit na Tectonic
A vulnerabilidade principal ocorreu porque a Tectonic permitia uma taxa de colateral de 20% para o seu próprio token, apesar de o ativo contar com uma liquidez rasa, de cerca de US$ 1,34 milhão. A empresa de segurança PeckShield estimou os prejuízos em US$ 74 milhões, enquanto Li calculou as perdas do exploit na Tectonic em US$ 75 milhões.
Análises de fluxo bruto indicam movimentações de até US$ 119,5 milhões fora dos pools.
A interrupção rápida da blockchain só foi possível porque a Cronos opera com um conjunto limitado de 100 validadores. A decisão evitou uma fuga maior: apenas US$ 6 milhões atingiram a rede Ethereum antes do congelamento, deixando cerca de US$ 60 milhões imobilizados.
Parte desses fundos foi movida para uma corretora descentralizada da Cronos, que registrou entrada de US$ 61 milhões no mesmo período.
Apesar da contenção, a pausa travou empréstimos, pagamentos e negociações de todos os usuários do ecossistema, mesmo daqueles que não utilizavam o protocolo afetado. O CEO da Crypto.com, Kris Marszalek, declarou que a corretora e o aplicativo funcionam normalmente e que os fundos dos clientes estão seguros.
Este foi o terceiro ataque recente com dinâmica similar no setor DeFi, após incidentes na Moonwell (US$ 8,7 milhões) e na Pendle (US$ 36 milhões). A Tectonic já havia registrado falhas de lógica em fevereiro de 2024 (com perda de US$ 250 mil) e em novembro do mesmo ano.
Até o momento, nem a Cronos nem a Tectonic divulgaram um prazo para o retorno da rede ou plano de ressarcimento.
