Cronos para su blockchain tras un ataque de 75 millones a Tectonic

Qué ha pasado

Cronos, la blockchain asociada a Crypto.com, ha detenido el funcionamiento de su red después de un ataque contra Tectonic, una aplicación de préstamos que opera sobre esa red. Cointelegraph cifra el importe estimado del ataque en 75 millones de dólares. CoinDesk da la misma cifra en su titular y añade el detalle del método.

Parar una blockchain no es un trámite menor. Significa que los validadores —los ordenadores que confirman las transacciones y hacen avanzar la cadena— dejan de producir bloques. Mientras la red está parada, nadie mueve nada: ni el atacante, ni los usuarios legítimos.

Cómo se hizo, según CoinDesk

La mecánica que describe CoinDesk es conocida en el sector. El atacante, presuntamente, empujó al alza el precio de TONIC, el token del propio protocolo Tectonic, hasta multiplicarlo por 100. CoinDesk subraya que es un token "poco negociado": con poco volumen, mover el precio cuesta relativamente poco dinero.

Con ese token ya inflado, lo usó como colateral. El colateral es la garantía que se deposita en un protocolo de préstamos para poder pedir prestado: como el aval de una hipoteca, pero automático y sin nadie revisándolo. Si el sistema cree que tu garantía vale mucho, te deja pedir mucho. Y ahí está el problema: la garantía valía mucho solo porque el propio atacante había subido su precio.

Con esa garantía hinchada pidió prestados, según CoinDesk, "activos reales": es decir, tokens con mercado y valor fuera del ecosistema del propio Tectonic. El agujero es la diferencia entre lo que se llevó y lo que dejó como respaldo, que en la práctica no valía casi nada una vez el precio de TONIC volviera a su sitio.

CoinDesk añade un matiz importante: la mayor parte de los fondos quedó "varada" cuando los validadores pararon la red. O sea, el dinero se pidió prestado, pero no llegó a salir. Es la razón habitual por la que se toma una decisión tan drástica como detener una cadena: ganar tiempo antes de que los fondos se muevan a otras redes y se vuelvan mucho más difíciles de rastrear.

Qué significa si tienes dinero ahí

Hay que separar tres capas, porque no son lo mismo.

La primera es Crypto.com como empresa. Su consejero delegado, Kris Marszalek, dijo —según Cointelegraph— que la app y el exchange de la compañía no se vieron afectados por la brecha de Tectonic y siguieron operando con normalidad. Es una declaración de la propia empresa afectada, no una verificación independiente.

La segunda es la red Cronos. Cuando una blockchain se para, todo lo que vive encima se para con ella. Da igual que tu posición no tuviera nada que ver con Tectonic: si estaba en Cronos, durante la pausa no se movía. Este tipo de episodios suele reabrir el debate sobre cuántos validadores hacen falta para detener una red y qué implica que un grupo reducido pueda hacerlo. El material que manejamos no dice cuántos validadores participaron en la decisión ni cuánto duró la parada.

La tercera es Tectonic. Es la aplicación directamente atacada y donde está el agujero de 75 millones.

Hay una lectura general que conviene explicitar como lectura, no como dato: los ataques a protocolos de préstamos que usan tokens propios y poco líquidos como garantía son un patrón repetido en el sector. La vulnerabilidad no suele estar en la criptografía, sino en la valoración: el sistema se cree un precio que un solo actor ha podido mover. Eso es interpretación de un patrón conocido, no algo que afirmen las dos fuentes citadas.

Lo que no se sabe

Bastante, y conviene decirlo.

No se sabe quién está detrás. CoinDesk usa "presuntamente" al describir la maniobra, y no hay atribución.

No se sabe cuánto se recuperará. "La mayoría de los fondos quedaron varados" no es lo mismo que "todos". El material no cuantifica qué parte salió y qué parte no.

No se sabe cuándo se reanudó la red ni bajo qué condiciones. Tampoco si hubo cambios en el protocolo antes de reactivarla.

No se sabe si habrá compensación a los usuarios de Tectonic, ni quién la asumiría. Ninguna de las dos fuentes lo menciona.

No se sabe cómo reaccionaron los precios de CRO, TONIC ni del resto de activos implicados. Las dos notas se centran en el ataque y en la parada de la red, no en cotizaciones.

Y no se sabe si la cifra de 75 millones es definitiva. Ambas fuentes la presentan como estimación. En este tipo de sucesos, la cantidad inicial suele revisarse en los días siguientes, al alza o a la baja, cuando se audita el contrato afectado.