A Cronos, da Crypto.com, desligou toda a sua blockchain no domingo para conter um ataque ao protocolo de empréstimos DeFi Tectonic, congelando todas as posições na rede durante o processo.
A Tectonic permite que utilizadores depositem criptomoedas para que outros tomem emprestado contra garantias fornecidas, ganhando juros em troca. Foi o primeiro protocolo desse tipo a ser lançado na Cronos e continua a ser, de longe, o maior, detendo quase metade de todo o capital depositado nas aplicações DeFi da rede. O segundo maior credor na rede, Mimas Finance, detém cerca de 30 mil dólares, de acordo com o DefiLlama.
Num tuíte, a Cronos referiu que tinha “identificado uma exploração” na Tectonic, acrescentando que tinha paralisado a Rede Cronos e forneceria atualizações. Um dia depois, confirmou que a rede ainda estava inativa, afirmando que estava a investigar “com o apoio de equipas de segurança de todo o setor”.
O investigador on-chain Weilin Li descreveu-o como um “ataque de manipulação de preço do tipo pump-and-borrow ao estilo Mango-market”, uma referência à exploração de 100 milhões de dólares do Mango Markets em outubro de 2022. O preço do TONIC disparou 100 vezes em 20 minutos, disse ele, antes de o atacante tomar empréstimos contra ele.
A causa raiz, segundo Li, era simples: a Tectonic atribuiu ao seu próprio token de governação um fator de garantia de 20%, apesar da liquidez muito baixa, permitindo que o atacante retirasse um quinto de uma avaliação que o mercado nunca poderia ter suportado.
A liquidez do TONIC situa-se em cerca de 1,34 milhões de dólares, pequena o suficiente para que somas modestas movam o preço bruscamente. Ele estimou o montante em 66 milhões de dólares, depois reviu-o para cerca de 75 milhões de dólares após identificar um endereço adicional controlado pelo atacante, detendo 8 milhões de dólares. A empresa de segurança PeckShield chegou a um valor semelhante, de cerca de 74 milhões de dólares.
A Tectonic detinha cerca de 121,7 milhões de dólares em depósitos e 82,7 milhões de dólares em empréstimos ativos pouco antes do incidente, de acordo com o DefiLlama, quase metade de todo o capital em DeFi na Cronos. Na segunda-feira, esse valor tinha caído para aproximadamente 3 milhões de dólares, uma queda de 97,5% em 30 dias. Uma análise on-chain separada estima o total movimentado dos pools muito mais alto, em cerca de 119,5 milhões de dólares, medindo o fluxo bruto em vez dos lucros do atacante.
Porque é que a rede parou
A paralisação funcionou, pelo menos em termos de contenção. Apenas cerca de 6 milhões de dólares dos lucros chegaram ao Ethereum antes de a produção de blocos parar, disse Li, deixando aproximadamente 60 milhões de dólares imobilizados numa rede que não se moveu desde então.
Parte do valor foi estacionada num pool de exchange descentralizada, o que ele sugeriu ser uma tentativa de evitar a lista negra. Os dados do DefiLlama são consistentes com isso: a maior exchange descentralizada na Cronos ganhou cerca de 61 milhões de dólares em depósitos nas mesmas 24 horas, enquanto as participações em DeFi em toda a rede caíram 22%.
Isto foi possível porque a Cronos opera um conjunto limitado de 100 validadores, pequeno o suficiente para coordenar uma paralisação rapidamente. A desvantagem é que tudo o resto também parou: empréstimos abertos, negociações, pagamentos e posições automatizadas pertencentes a utilizadores que nunca tocaram na Tectonic.
O CEO da Crypto.com, Kris Marszalek, disse que a exchange e a aplicação estavam a operar normalmente e que os fundos dos clientes estavam seguros, prometendo uma análise pós-morte. A Tectonic informou os depositantes para não interagirem com o protocolo até confirmar que era seguro fazê-lo.
Li classificou-o como o terceiro ataque no estilo Mango nas últimas semanas, seguindo um no Moonwell, onde a manipulação do token MAMO ilíquido custou cerca de 8,7 milhões de dólares, e outro num mercado Pendle reUSD que desencadeou aproximadamente 36 milhões de dólares em liquidações a 25 de agosto.
Esta não é a primeira violação da Tectonic. O DefiLlama regista dois incidentes anteriores no protocolo, ambos classificados como falhas de lógica de protocolo: um em fevereiro de 2024 que custou 250 mil dólares, e outro em novembro de 2024. Classifica o ataque de domingo de forma diferente, como manipulação de oráculo realizada através de manipulação de preço à vista, e estima a perda em 75 milhões de dólares.
Nem a Cronos nem a Tectonic forneceram um calendário de reinício, confirmaram um valor final ou disseram se os depositantes serão totalmente ressarcidos.
* Traduzido e editado com autorização do Decrypt.
À procura de uma alternativa para aumentar os seus ganhos? A Renda Fixa Digital do MB é a solução: até 18% de ganho ao ano, risco controlado e a segurança que o seu dinheiro merece. Conheça agora!
