Un bombeo de TONIC 100-veces costó a Tectonic $75 millones y congeló Cronos
- Un atacante multiplicó por aproximadamente 100 el precio de TONIC en 20 minutos y lo utilizó como garantía para obtener préstamos, drenando unos 75 millones de dólares de Tectonic.
- Cronos detuvo toda su blockchain el 30 de agosto, dejando congelados en cadena todos los fondos excepto unos 6 millones de dólares.
- Crypto.com afirmó que su aplicación y su exchange no fueron comprometidos.
El domingo, Cronos detuvo toda su blockchain después de que un atacante drenara ~$75 millones de Tectonic, el mercado de préstamos más grande de la red.
La detención atrapó todo excepto unos $6 millones del botín antes de que pudiera salir de la cadena.
Solo $6 millones llegaron a Ethereum antes de que Cronos dejara de producir bloques
El ataque se centró en el precio de TONIC, el token de gobernanza poco líquido del protocolo, dijo el investigador on-chain Weilin Li, quien fue el primero en exponer la secuencia en X.
El token se bombeó unas 100 veces en 20 minutos y luego se colateralizó para prestar otros activos reales fuera del protocolo, dice.
Los propios parámetros de Tectonic le dieron a TONIC un factor de colateral del 20%, lo que significa que un depositante podía pedir prestado hasta una quinta parte del valor del token depositado. Li contó unos 364.6 billones de TONIC en la posición del ataque.
Los datos de CoinGecko muestran que la pila necesitaba valer alrededor de $0.00000103 por token para respaldar el préstamo en exhibición, o unas 100 veces donde TONIC se estaba negociando antes del ataque.
La documentación de Tectonic advertía que los activos de baja liquidez son susceptibles exactamente a este tipo de manipulación de precios.
Li lo compara con el hackeo de Mango Markets de 2022, donde un trader infló un token ilíquido y pidió prestado contra el valor falso.
“Identificamos un exploit en Tectonic. La Red Cronos ha sido detenida y proporcionaremos actualizaciones aquí”, publicó la Red Cronos en X el 30 de agosto.
Tectonic también advirtió a los usuarios que se mantuvieran alejados del protocolo hasta que pudiera confirmar que la situación era segura.
Li comenzó con un total de unos $66 millones, luego lo aumentó a unos $75 millones cuando siguió la pista a una segunda dirección perteneciente a un atacante con otros $8 millones.
Solo unos $6 millones fueron enviados a Ethereum antes de que Cronos dejara de hacer bloques. Esto significaba que la mayor parte de los activos robados permanecían en la cadena de la que fueron robados.
Según DeFiLlama, Tectonic tenía unos $82.7 millones en préstamos activos y unos $121.7 millones en valor bloqueado antes del ataque.
Las cifras reportadas por Li no están confirmadas por Tectonic ni por Cronos.
Los protocolos de préstamos registraron 67 exploits de 267 incidentes de DeFi
El director ejecutivo Kris Marszalek dijo en una publicación en X que la aplicación y el exchange de Crypto.com no fueron comprometidos y que el equipo de seguridad de la empresa está ayudando a Cronos a investigar.
La exposición está con la aplicación DeFi Tectonic, no con el exchange de Crypto.com. Tectonic es el primer protocolo de préstamos en la red y funciona de forma independiente en Cronos.
CRO cayó aproximadamente un 10.0% en 24 horas a medida que se extendía la noticia, y se está negociando a ~$0.055 según CoinGecko.
Li dijo que un atacante manipuló el precio del token ilíquido MAMO, lo que hizo que el protocolo de préstamos Moonwell en Base perdiera unos $8.7 millones tres días antes.
También destacó un episodio del 25 de agosto donde un mercado poco líquido de Pendle fue manipulado para generar unos $36 millones de liquidaciones en posiciones PT-reUSD apalancadas en Morpho.
Cryptopolitan informó en julio de un ataque de oráculo en Balance Protocol que alimentó un precio incorrecto, lo que hizo que el token BLC cayera aproximadamente un 99% y drenara unos $912,000 de la entidad de gobernanza 42DAO.
En febrero, los protocolos de préstamo registraron 67 vulnerabilidades en el último año de un total de 267 incidentes en DeFi. La manipulación del precio por sí sola representó 13 ataques y provocó pérdidas de aproximadamente 65 millones de dólares.
Cronos no ha dicho cuándo reiniciará la cadena ni qué hará con los activos varados del atacante.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Cómo funcionó la explotación de Tectonic?
El atacante multiplicó por aproximadamente 100 el precio de TONIC en 20 minutos y luego utilizó estos tokens inflados como garantía para obtener préstamos de otros activos desde Tectonic.
¿Cuánto se robó y cuánto logró escapar?
Se vieron afectados unos 75 millones de dólares, pero solo alrededor de 6 millones de dólares fueron transferidos a Ethereum antes de que Cronos detuviera la red.
¿Afectó la detención de Cronos a Crypto.com?
Kris Marszalek, director ejecutivo de Crypto.com, declaró en X que la aplicación y el exchange de la empresa no fueron comprometidos.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
