Cronos Network, un ecosistema blockchain asociado a Crypto.com, suspendió sus operaciones en respuesta a un exploit que afectó a Tectonic, un protocolo de finanzas descentralizadas que permite a los usuarios prestar y tomar prestados activos cripto en la blockchain de Cronos, según un anuncio del 30 de agosto.

Tectonic confirmó que estaba gestionando un incidente e instó a los usuarios a no interactuar con el protocolo mientras su equipo investiga. El proyecto señaló que compartirá una actualización verificada una vez que la investigación arroje más información. Al momento de la publicación, no se habían proporcionado detalles sobre la vulnerabilidad específica involucrada ni sobre la magnitud de las pérdidas.

Tectonic, que se lanzó en Cronos a finales de 2021, es uno de los protocolos DeFi más longevos del ecosistema y opera con un modelo similar al de Compound y Aave, donde las tasas de interés se fijan algorítmicamente según la oferta y la demanda. Su valor total bloqueado lo había convertido en una de las plataformas de préstamos más grandes de la red.

Tectonic permite a los usuarios depositar criptoactivos para ganar intereses o tomar prestados activos admitidos bloqueando un colateral. TONIC, el token nativo del protocolo, se utiliza para gobernanza y otras utilidades, y los titulares pueden hacer staking como xTONIC para participar en los ingresos del protocolo.

Según un análisis preliminar del investigador de cadena Awoo, el atacante aparentemente manipuló el precio del token TONIC y luego utilizó el valor inflado como colateral para tomar prestados fondos del protocolo.

https://twitter.com/awoocronos/status/2094079412266238055?s=20

El atacante presuntamente compró alrededor de 16 billones de TONIC en tres pools de VVS usando aproximadamente 600.000 dólares en USDC y CRO, lo que elevó el precio del token cerca del 40%. VVS Finance es el exchange descentralizado insignia de Cronos y sus pools de liquidez funcionan como lugares clave de negociación para los tokens del ecosistema. Posteriormente, los tokens fueron depositados en Tectonic junto con 5 millones de dólares en USDC.

Tras ejecutar dos préstamos de prueba, el atacante presuntamente drenó aproximadamente 120 millones de dólares en una sola transacción, llevándose USDC, USDT, WBTC, WETH y CRO. Awoo estima que el atacante gastó unos 5,6 millones de dólares de sus propios fondos para llevar a cabo la operación, mientras que traders imitadores extrajeron después aproximadamente 2 millones de dólares.

Manipular el precio de un activo utilizado como colateral para extraer más valor del depositado es un patrón de ataque recurrente contra protocolos de préstamos DeFi, y suele indicar que un protocolo dependía de una fuente de precios que podía distorsionarse mediante pools de baja liquidez. Si los oráculos de Tectonic o sus prácticas de listado de colaterales jugaron algún rol aún debe determinarlo la investigación.

La decisión de detener toda la cadena es notable para una red que se promociona como descentralizada, y recuerda las respuestas coordinadas de validadores vistas en exploits de alto valor en otras blockchains públicas, donde los operadores pausaron la producción de bloques para impedir el movimiento de los fondos del atacante. También pone de relieve la influencia operativa que Crypto.com y sus socios conservan sobre el ecosistema de Cronos, dado el origen de la red como proyecto incubado por la exchange.

En una declaración, el CEO de Crypto.com, Kris Marszalek, enfatizó que la brecha no afectó la app principal ni la exchange de Crypto.com. Marszalek afirmó que todos los fondos están seguros y que proporcionará información adicional a medida que haya más detalles disponibles. También se comprometió a publicar un análisis posterior completo una vez que finalice la investigación de la brecha en Tectonic.

There has been a security breach on a Cronos lending protocol Tectonic. Cronos team is investigating, with assistance from security team. app and exchange were not affected and are operating as usual. All funds are safe. I will… — Kris (@kris) August 30, 2026